[样章2]《加密与解密(第三版)》--13.5 DLL文件脱壳（重定位表修复部分）-《加密与解密(第4版)》-看雪-安全社区|安全招聘|kanxue.com

[样章2]《加密与解密(第三版)》--13.5 DLL文件脱壳（重定位表修复部分）

发表于: 2008-3-16 10:42 122627

[样章2]《加密与解密(第三版)》--13.5 DLL文件脱壳（重定位表修复部分）

kanxue

2008-3-16 10:42

122627

第13章脱壳技术
13.1 基础知识
13.1.1 壳的加载过程
13.1.2 脱壳机
13.1.3 手动脱壳
13.2 寻找OEP
13.2.1 根据跨段指令寻找OEP
13.2.2 用内存访问断点找OEP
13.2.3 根据堆栈平衡原理找OEP
13.2.4 根据编译语言特点找OEP
13.3 抓取内存映像
13.3.1 Dump原理
13.3.2 反DUMP技术
13.4 重建输入表
13.4.1 输入表重建的原理
13.4.2 确定IAT的地址和大小
13.4.3 根据IAT重建输入表
13.4.4 ImportREC重建输入表
13.4.5 输入表加密概括
13.5 DLL文件脱壳
13.5.1 寻找OEP
13.5.2 Dump映像文件
13.5.3 重建DLL的输入表
13.5.4 构造重定位表
13.6 附加数据
13.7 PE文件的优化
13.8 压缩壳
13.8.1 UPX外壳
13.8.2 ASPack外壳
13.9 静态脱壳
13.9.1 外壳Loader的分析
13.9.2 编写静态脱壳器
13.10 加密壳
13.10.1 ASProtect
13.10.2 Thmedia的SDK分析

DLL文件的脱壳与EXE文件步骤差不多，所不同的是，DLL文件多了个基址重定位表等要考虑。

在2003年出版的《加密与解密》(第二版)中以UPX，PECompact为例讲述了DLL重定位重建的方法，由于本人的思路限制，当时只是从UPX，PECompact自身特点找思路解决这问题，即先分析UPX，PECompact对重定位表处理算法，然后写工具逆算法还原重定位表，如UPXAngela.exe等工具。这种思路的通用性不好，针对不同的壳和版本，要重写工具，并且逆算法可能不完美，从而存在bug。

后来，askformore在“重建重定位表脚本”一文中，提出了一种更通用性的解决办法，利用外壳重定位相关数据时，会根据外壳转储的重定位表确定要重定位的RVA，完成代码重定位工作。将这些要重定位的RVA提取出来，再将这些RVA根据重定位表的定义重新生成一份新的重定位表。shoooo也曾提到过这个思路。于是，在第三版重写这部分时，根据这个思路写了一款工具来完成这个重建功能，详见附件的ReloREC。另外，ReloREC重构重定位表的算法代码，参考了ccfer在看雪论坛.珠海金山2007逆向分析挑战赛 第二阶段第三题 提交的代码。在此一并表示感谢！

003DE7F5   .  58              pop     eax
003DE7F6   .  61              popad
003DE7F7   .  8D4424 80       lea     eax, dword ptr [esp-80]
003DE7FB   >  6A 00           push    0
003DE7FD   .  39C4            cmp     esp, eax
003DE7FF   .^ 75 FA           jnz     short 003DE7FB
003DE801   .  83EC 80         sub     esp, -80
003DE804   >- E9 372AFFFF     jmp     003D1240  //跳到OEP

003D1266     A1 58B43D00        mov     eax, dword ptr [3DB458]

003DE79E  mov     al, byte ptr [edi]              ;指向UPX自己加密过的重定位表
003DE7A0  inc     edi                                  ;指针移向下一位
003DE7A1  or      eax, eax                            ;EAX=0？结束标志
003DE7A3  je      short 003DE7C7               
003DE7A5  cmp     al, 0EF
003DE7A7  ja      short 003DE7BA                   
003DE7A9  add     ebx, eax                          ;EBX的初值为（0xFFC+基址）
003DE7AB  mov     eax, dword ptr [ebx]             ;EBX指向需要重定位的数据，取出放到EAX
003DE7AD  xchg    ah, al
003DE7AF  rol     eax, 10
003DE7B2  xchg    ah, al
003DE7B4  add     eax, esi                          ; ESI指向UPX0区块的VA，本例=3D1000
003DE7B6  mov     dword ptr [ebx], eax           ;重定位
003DE7B8  jmp     short 003DE79C              
003DE7BA  and     al, 0F
003DE7BC  shl     eax, 10
003DE7BF  mov     ax, word ptr [edi]
003DE7C2  add     edi, 2
003DE7C5  jmp     short 003DE7A9            
003DE7C7  mov     ebp, dword ptr [esi+E044]        ;改好ESI为401000后，按F4到这里

登录后可查看完整内容

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：

dll.gif （15.16kb，10134次下载）
dll2.gif （8.87kb，10084次下载）
dll4.gif （17.32kb，10061次下载）
dll3.gif （5.80kb，10074次下载）
脱壳实例.rar （42.10kb，1482次下载）
ReloREC 1.0.rar （36.97kb，1448次下载）

收藏・42

免费・0

支持

最新回复 (98) 1 2 3 4 ▶
kanxue 雪币： 50161 活跃值： (20610) 能力值： (RANK：350 ) 在线值：发帖 2375 回帖 17046 粉丝 549 关注私信	kanxue 8 2 楼 UPX外壳可以使用UPX自身来去除，这样壳脱得最完美。本节只是为了讨论重定位表技术，用UPX为例演示。碰到变形的UPX壳，可以试试UPXFIX_by_DiKe(http://bbs.pediy.com/showthread.php?t=52140 )，它可以重构UPX外壳，处理后，用原版UPX –d命令脱壳了。附件“加密与解密(第二版)upx重定位表修复.pdf ”是《加密与解密(第二版)》相关内容，仅供思路上的参考。上传的附件：加密与解密(第二版)upx重定位表修复.pdf （118.89kb，1393次下载） 2008-3-16 12:04 0
安摧雪币： 247 活跃值： (10) 能力值： ( LV7，RANK：100 ) 在线值：发帖 22 回帖 345 粉丝 0 关注私信	安摧 2 3 楼啥时候书出来啊？？？买！打死也要买！ 2008-3-16 12:54 0
安摧雪币： 247 活跃值： (10) 能力值： ( LV7，RANK：100 ) 在线值：发帖 22 回帖 345 粉丝 0 关注私信	安摧 2 4 楼建议坛主在论坛搞个调查，看看论坛上有多少人要买这本书估计一下需求这样进展会顺利点。。。 2008-3-16 13:06 0
szdbg 雪币： 266 活跃值： (52) 能力值： ( LV9，RANK：210 ) 在线值：发帖 48 回帖 305 粉丝 6 关注私信	szdbg 5 5 楼昨天晚上我已经拿到第三版了。。。早上才发觉是一个梦 2008-3-16 15:40 0
likunkun 雪币： 334 活跃值： (22) 能力值： ( LV4，RANK：50 ) 在线值：发帖 18 回帖 283 粉丝 1 关注私信	likunkun 1 6 楼好好好！！！ 2008-3-16 16:14 0
NWMonster 雪币： 134 活跃值： (84) 能力值： ( LV5，RANK：60 ) 在线值：发帖 26 回帖 457 粉丝 8 关注私信	NWMonster 1 7 楼太诱人了，呵呵 2008-3-17 20:45 0
河边渔者雪币： 164 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 13 回帖 276 粉丝 0 关注私信	河边渔者 1 8 楼很是勾引人呐 2008-3-18 17:28 0
yybns 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 43 粉丝 0 关注私信	yybns 9 楼一定购买，学习。 2008-3-19 02:02 0
jgs 雪币： 9036 活跃值： (5286) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 449 粉丝 7 关注私信	jgs 10 楼一二三，一个都不能少！强烈支持！ 2008-3-20 00:04 0
二毛雪币： 143 活跃值： (17) 能力值： ( LV2，RANK：10 ) 在线值：发帖 70 回帖 392 粉丝 0 关注私信	二毛 11 楼肯定买，看雪的书有多少买多少。没时间看的话就当收藏好了 2008-3-20 00:13 0
飞天蜈蚣雪币： 228 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 130 粉丝 0 关注私信	飞天蜈蚣 12 楼我也要一定要想法办法买到手 2008-3-23 12:57 0
豆腐乳雪币： 230 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 73 粉丝 0 关注私信	豆腐乳 13 楼期待电子版。 2008-3-23 13:59 0
frozenrain 雪币： 107 活跃值： (1738) 能力值： ( LV6，RANK：80 ) 在线值：发帖 26 回帖 509 粉丝 1 关注私信	frozenrain 14 楼 600多页的估计也得100+吧电子书看的很累人的我还是喜欢精装的呵呵 2008-3-23 14:05 0
qincccken 雪币： 217 活跃值： (14) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 102 粉丝 1 关注私信	qincccken 15 楼不知老大什么时候能上市啊!支持!! 2008-3-23 18:51 0
ysstp 雪币： 204 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 22 粉丝 0 关注私信	ysstp 16 楼什么时候能买到？？ 2008-3-23 20:13 0
svnjcx 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 19 粉丝 0 关注私信	svnjcx 17 楼想把一二三版都买了 2008-3-23 20:20 0
小星雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 46 粉丝 0 关注私信	小星 18 楼老大快等不及了。。。快放书。。。 2008-3-25 16:02 0
kymeii 雪币： 200 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 39 粉丝 1 关注私信	kymeii 19 楼建意看雪老大可以邮购! 2008-3-27 15:41 0
阿扁鱼雪币： 88 活跃值： (115) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 222 粉丝 0 关注私信	阿扁鱼 20 楼支持大大，希望可以邮购～～～ 2008-3-27 15:55 0
cxjin 雪币： 233 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	cxjin 21 楼支持，等待上市。 2008-3-27 16:38 0
菜头雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	菜头 22 楼谢谢！新手报道 2008-3-27 17:52 0
kmlch 雪币： 411 活跃值： (12) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 220 粉丝 0 关注私信	kmlch 23 楼支持。期待上市。 2008-4-2 11:01 0
wjtwsd 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 40 粉丝 0 关注私信	wjtwsd 24 楼看雪的书肯定买. 2008-4-10 10:05 0
网游难民雪币： 309 活跃值： (15) 能力值： ( LV9，RANK：610 ) 在线值：发帖 20 回帖 181 粉丝 1 关注私信	网游难民 15 25 楼什么时间才能看到书啊？？ 2008-4-10 18:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

kanxue

2375

发帖

17046

回帖

350

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (98) 1 2 3 4 ▶
kanxue 雪币： 50161 活跃值： (20610) 能力值： (RANK：350 ) 在线值：发帖 2375 回帖 17046 粉丝 549 关注私信	kanxue 8 2 楼 UPX外壳可以使用UPX自身来去除，这样壳脱得最完美。本节只是为了讨论重定位表技术，用UPX为例演示。碰到变形的UPX壳，可以试试UPXFIX_by_DiKe(http://bbs.pediy.com/showthread.php?t=52140 )，它可以重构UPX外壳，处理后，用原版UPX –d命令脱壳了。附件“加密与解密(第二版)upx重定位表修复.pdf ”是《加密与解密(第二版)》相关内容，仅供思路上的参考。上传的附件：加密与解密(第二版)upx重定位表修复.pdf （118.89kb，1393次下载） 2008-3-16 12:04 0
安摧雪币： 247 活跃值： (10) 能力值： ( LV7，RANK：100 ) 在线值：发帖 22 回帖 345 粉丝 0 关注私信	安摧 2 3 楼啥时候书出来啊？？？买！打死也要买！ 2008-3-16 12:54 0
安摧雪币： 247 活跃值： (10) 能力值： ( LV7，RANK：100 ) 在线值：发帖 22 回帖 345 粉丝 0 关注私信	安摧 2 4 楼建议坛主在论坛搞个调查，看看论坛上有多少人要买这本书估计一下需求这样进展会顺利点。。。 2008-3-16 13:06 0
szdbg 雪币： 266 活跃值： (52) 能力值： ( LV9，RANK：210 ) 在线值：发帖 48 回帖 305 粉丝 6 关注私信	szdbg 5 5 楼昨天晚上我已经拿到第三版了。。。早上才发觉是一个梦 2008-3-16 15:40 0
likunkun 雪币： 334 活跃值： (22) 能力值： ( LV4，RANK：50 ) 在线值：发帖 18 回帖 283 粉丝 1 关注私信	likunkun 1 6 楼好好好！！！ 2008-3-16 16:14 0
NWMonster 雪币： 134 活跃值： (84) 能力值： ( LV5，RANK：60 ) 在线值：发帖 26 回帖 457 粉丝 8 关注私信	NWMonster 1 7 楼太诱人了，呵呵 2008-3-17 20:45 0
河边渔者雪币： 164 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 13 回帖 276 粉丝 0 关注私信	河边渔者 1 8 楼很是勾引人呐 2008-3-18 17:28 0
yybns 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 43 粉丝 0 关注私信	yybns 9 楼一定购买，学习。 2008-3-19 02:02 0
jgs 雪币： 9036 活跃值： (5286) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 449 粉丝 7 关注私信	jgs 10 楼一二三，一个都不能少！强烈支持！ 2008-3-20 00:04 0
二毛雪币： 143 活跃值： (17) 能力值： ( LV2，RANK：10 ) 在线值：发帖 70 回帖 392 粉丝 0 关注私信	二毛 11 楼肯定买，看雪的书有多少买多少。没时间看的话就当收藏好了 2008-3-20 00:13 0
飞天蜈蚣雪币： 228 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 130 粉丝 0 关注私信	飞天蜈蚣 12 楼我也要一定要想法办法买到手 2008-3-23 12:57 0
豆腐乳雪币： 230 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 73 粉丝 0 关注私信	豆腐乳 13 楼期待电子版。 2008-3-23 13:59 0
frozenrain 雪币： 107 活跃值： (1738) 能力值： ( LV6，RANK：80 ) 在线值：发帖 26 回帖 509 粉丝 1 关注私信	frozenrain 14 楼 600多页的估计也得100+吧电子书看的很累人的我还是喜欢精装的呵呵 2008-3-23 14:05 0
qincccken 雪币： 217 活跃值： (14) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 102 粉丝 1 关注私信	qincccken 15 楼不知老大什么时候能上市啊!支持!! 2008-3-23 18:51 0
ysstp 雪币： 204 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 22 粉丝 0 关注私信	ysstp 16 楼什么时候能买到？？ 2008-3-23 20:13 0
svnjcx 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 19 粉丝 0 关注私信	svnjcx 17 楼想把一二三版都买了 2008-3-23 20:20 0
小星雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 46 粉丝 0 关注私信	小星 18 楼老大快等不及了。。。快放书。。。 2008-3-25 16:02 0
kymeii 雪币： 200 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 39 粉丝 1 关注私信	kymeii 19 楼建意看雪老大可以邮购! 2008-3-27 15:41 0
阿扁鱼雪币： 88 活跃值： (115) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 222 粉丝 0 关注私信	阿扁鱼 20 楼支持大大，希望可以邮购～～～ 2008-3-27 15:55 0
cxjin 雪币： 233 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	cxjin 21 楼支持，等待上市。 2008-3-27 16:38 0
菜头雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	菜头 22 楼谢谢！新手报道 2008-3-27 17:52 0
kmlch 雪币： 411 活跃值： (12) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 220 粉丝 0 关注私信	kmlch 23 楼支持。期待上市。 2008-4-2 11:01 0
wjtwsd 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 40 粉丝 0 关注私信	wjtwsd 24 楼看雪的书肯定买. 2008-4-10 10:05 0
网游难民雪币： 309 活跃值： (15) 能力值： ( LV9，RANK：610 ) 在线值：发帖 20 回帖 181 粉丝 1 关注私信	网游难民 15 25 楼什么时间才能看到书啊？？ 2008-4-10 18:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复