第三节 自动脱壳
1、工具介绍
通过上一节，我想大家己认识了什么是壳的概念了，也是说运行加壳程序时， 用户执行的实际上是这个外壳的程序，而这个外壳程序负责把用户原来的程序在内存中解压缩，并把控制权交还给解开后的真正的程序，由于一切工作都是在内存中运行，用户根本不知道也不需要知道其运行过程，只要执行起来没有变化就好。当时有些人担心这些解压缩的工作会给程序带来额外的运行时间，但实际上所有的可执行文件都要读到内存中去执行，文件小了，从计算机硬盘上读到内存的时间自然也少了，两下相抵，实际上用户并不会感觉程序慢了多少。脱壳的就是把在内存中真正还原的程序抓取下来，修正后变成可执行的文件。
在Windows 95/NT/2000 上的文件格式是Portable Executable File Format(即PE格式)，该格式应用于所有基于Win32的系统。由于现在windows的普及，下面谈到的壳都是基于这种文件格式。
压缩工具介绍（PACKERS）
我们这里谈的压缩工具不是Winzip，WINRAR等工具（它们是可压缩任何文件），而是谈专门压缩windows下的 PE 格式EXE或DLL文件的工具，压缩的EXE文件是自解压可执行文件。
常用压缩工具（Windows Packers ）列表：
|
名称 |
作者 |
主页 |
介绍 |
|
ASPack |
Alexey Solodovnikov |
是俄国作者Alexey Solodovnikov写的一个非常强大的Win32压缩工具，其压缩率、速度和兼容性很不错，是目前很流行的一种压缩工具。 | |
| UPX | Markus Oberhumer & Laszlo Molnar | 非常全能的 EXE 压缩软件,并可用UPX -D命令脱壳。 | |
| Petite | Ian Luck | 能压缩PE文件的code, data等资源。 | |
| PE-PACK | ANAKiN | 一个自身体积小巧的压缩工具 | |
| PKLITE32 | PKWARE, Inc. | 32-位压缩工具(DLL/EXE). | |
| WWPack32 | Piotr Warezak and Rafal Wierzbicki | 32-位压缩工具(DLL/EXE). | |
| NeoLite | 32-位压缩工具(DLL/EXE). | ||
| Shrinker | Blink Inc | 32-位压缩工具(DLL/EXE). |
脱壳工具介绍（UNPACKERS）
一般某种压缩工具的壳，都会有相应的脱壳工具，因此只要找到较新版本的脱壳工具， 一般的壳都可轻易脱去。
常用脱壳工具（Windows Unpackers）列表：
|
名称 |
作者 |
主页 |
介绍 |
| ASPack unpacker | bane | 脱ASPack的压缩PE文件。 | |
| UnPEPack | M.o.D. | 脱PEPack的壳 | |
| ProcDump32 | 十分优秀的“万能”脱壳工具，可惜不升级了，因此只能自动脱些老版本压缩工具的壳，但可通过脚本命令使其升级。也是一款优秀的PE修改工具。 |
侦测文件类型工具
|
名称 |
介绍 | ||
| FileInfo | 能检测多种文件格式，脱壳前用来判断是否加壳或何种壳，推荐使用！ | ||
| GetTyp | 功能同上 | ||
| TYP | 功能同上 | ||
2、ProcDump应用文章一
| 注：本文作者PererS是台湾的，因此要注意在一些名词上称呼与我们不同。 由于此文写作时间较早，在此推荐两个新版工具： 侦测工具：推荐FileInfo。 脱壳工具：ProcDump32 v1.6.2 FINAL终结版本 。 |
保护方法 壳
需要工具 TYP( 侦测工具 ) & ProcDump 1.50( 剥壳机 )
文章作者 Peter S. （彼得的家）
侦测与剥 CWView 2000 (Version 4.1) 的壳
一、前言
何谓壳 ? 相信这是很多人的疑问。
其实壳，顾名思义，就像鸡蛋的壳一样，主要是保护鸡的「卵」。从外观上看来，鸡蛋是白色的，但是把壳剥掉以后呢 ? 是黄色的卵 + 透明的蛋白 ( 未熟蛋 ) 。这应用到我们的破解与保护上呢，也是同样的意思，假若我今天要修改一个执行档 ( 就像我要把黄色的卵，涂成绿色 ) ，但是因为有壳，所以根本找不到你要修改的地方 ( 就像光从鸡蛋的外观上看来，根本找不到有黄色的地方一样 ) ，一定要把壳「剥掉」，才能达成你的目的。我这样说，应该比较容易了解什么是壳了吧 ?
当然，正确的说，「壳」与「加密」是一体的，这类似你有一个纯文字档，如果你用 zip 压缩它以后，能够再更改它吗 ? 不可能，因为资料已经被重新排列、且压缩运算过，成为一堆乱码，所以根本不能直接改。
这个教学文件所需要的软体如下 :
1. TYP 这是一个能侦测你的软体是被哪一种「壳」给加密了
( 就好像侦测你的文件档是被 zip 、 rar 、 arj 哪一个给压缩了一样，如果连被哪种软体加了壳都不晓得，那要剥壳就难很多 ) 。
2. Procdump 1.5 这是剥壳机器，可剥许多已知壳、未知的 for win32 的壳。
二 . 用 TYP 测试 CWView2000 是被哪种壳给加密了 :
废话不多说，直接来 :
1. 首先，你要把你下载来的 TYP 先解压缩到某个目录 ( 我假设 c:\try)
2. 再来，把 CWView2000 的主程式 cwview32.exe ，由 c:\cwv2000 下拷贝到上面讲的目录 (c:\try) ，接下来，从 win95 开一个 dos 视窗，并且切换到 c:\try 目录下，然后键入 typ3 cwview32.exe
3. 过几秒以后，直接跳到最后一行，有没有看到 ASPACK / Solodovnikov Alexy [1.07b] 这行 ?
哦 ~~~ 原来 CWView2000 是用 ASPACK 1.07b 来加密的啊。那要脱壳不就简单了，去找一个专门脱 ASPACK 1.07 的软体不就得了 ??
没错，不过我在来要教的，是使用目前全世界最强的拨壳机 Procdump 来剥壳。
三 . 用 Procdump 1.50 来剥 ASPACK 1.07b 的壳 :
1. 首先，当然也是把 Procdump 解压缩到刚刚的目录 (C:\TRY)
2. 执行 Procdump ，你会看到如下的视窗 :
3. 因为我们要剥壳，所以按下 Unpack( 其他的按钮是干什么的，我也不清楚，大概是跟 WIN 的 PE 执行档有关的吧 ):
4. 由刚刚 TYP 侦测得知， CWView2000 是用 Aspack 1.07b 加的壳，所以理所当然的我们要选择 [Aspack<108] ，选好后，按下 OK( 要选对喔，选错会剥不出来 ):
5. 此时， ProcDump 会要求你开启你要剥壳的执行档，当然，我们要把路径指到 c:\try\cwview32.exe
6. 紧接著马上会出现如下的视窗，此时，千万不要按下 [ 确定 ] 。稍微等一下，有耐心一点，你马 上就会看到 CWView2000 被呼叫执行了，此时，将视窗切换至 CWView ，随便使用一二个 功能，然后在不要关掉 CWView2000 之下，按下 [ 确定 ] 钮。 ( 这个按钮是当程式 [ 完全 ] 被载入以后，才要按的 )
上面这个步骤很重要，如果心急乱按或乱关，你就得重来了。
7. 按下 [ 确定 ] 后没多久，会出现下面的视窗，并且此时 cwview 会自动被关掉，然后开始剥壳 运算，当出现 Step by step analyzis activated ... 时，过不久， Prucdump 就会要求你键入要输出的 档名 ( 也就壳剥掉以后，原始的卵要存成什么档名 ) ，我这里举例成 unshell.exe ，此时，也代表剥壳成功 !!:
剥壳还蛮简单的嘛，对不对 ?
三 . 试试看剥壳了以后的 CWView32.exe 可不可用 :
你可以自己执行看看，应该可以用吧 ? 或许你也可以比较一下剥壳与未剥之间的差别， 你将惊觉 : 没有剥壳的 CWView32 只有 602kb ，但是剥壳后，竟然高达 1634kb 。很惊人的压缩率吧 !( 所以加密或加壳的确有存在的必要，就好像压缩一样，可以帮助人们节省很多硬碟空间 )
四 . 试试看剥壳了以后的 CWView32.exe 可不可以修改成注册版 ?:
你可以用 16 位元编辑器，打开刚刚剥壳后的档案 (unshell.exe) ，然后
寻找 C60520864F0001
改成 ------------00
嘿嘿，找的到对不对 ? 也可以改了吧 ... 这样就不用使用外挂的「动态破解」软体 PPATCHER 了 !
五 . 我知道你在想什么 ...
你是不是在想，可不可以把刚刚修改完成的 unshell.exe 再把它加壳，让它变的小一点啊 ?
当然可以，只要你有加壳软体 ... 还等什么，赶快去做啊 !
从这次的破解教学我们学到 :
1. 如何使用 TYP 来侦测壳，与如何使用史上最强的 procdump 来剥壳。
2. 要剥壳，其实并不难，只要 TYP 侦测得出来、 procdump 有列表的，都很简单。
要注意的是 :
1. 当你发现 TYP 的回报是 Unknow 时候，别慌， procdump 也可以针对未知的壳作剥壳的运算，只要选择 **unknow** 就可以啦，不过成功率当然降低许多。
2. 为什么要介绍 procdump? 因为它可以外挂 script.ini 来增加剥壳的能力。也就是你可以自己用 sice 追某个被不知名加密软体给加壳的软体，然后纪录起相关的资料，再交由 Procdump 来把记忆体的内容「 dump 」 ( 存 ) 起来，只是这篇教学没有教 ( 我也不太会啦 ...) 。
3.TYP 是目前世界上侦测壳、压缩资料，能力最强的软体，要善用，你可以在下面的网站抓到 :
阿伦的家 (GB 码 ): http://crackers.163.net/
作者网页 : http://www-user.TU-Cottbus.DE/~kannegv
注意 : 要抓 dos32 的版本，才能在 windows 下正常使用
4.Procdump 是目前世界上最强的拨壳软体，除可以剥已知道的壳外，还可以剥许多未知的壳。更可以以手动的方法，增强其剥壳能力 ( 可惜的是，它只支援 win32 的软体， win16 与 dos 的他都不支援 ) 。，你可以在下面的网站抓到 :
阿伦的家 (GB 码 ): http://crackers.163.net/
吴朝相的家 (GB 码 ):http://member.netease.com/~topage
|
· 教你使用Anti ARP Snif.. · 网络嗅探教程：使用Sni.. · 时代亿信企业级信息安.. · ISA Server、虚拟机、.. · Windows年底再现图片漏.. · MBSA本地审核策略建议 |
· 企业局域网安全访问控.. · 常见病毒手工清除方法.. · 网络技术经典基础教程 · 如何破解加密的压缩文件 · 网吧破解无止境--视频！ · 网吧破解--视频！ |
|
|||
| 名称：网络安全精品应用黄皮书 简介：《2007精品网络安全黄皮书》包括了9个大类24个小类， 800余篇文章，内容包含了熊猫烧香病毒、DDOS攻击、ARP病等热点问题的介绍及解决方案。从病毒查杀、防范、系统、数据等各方面的安全设置到黑客技术的了解、防范，涉及到了安全应用的全部领域, 由浅至深内容全面。 |
|||
| 名称：Vista精品应用黄皮书 简介：《Vista精品应用黄皮书》囊括了Vista的各方面内容。此次的精简版，是将里面的内容做了提取，便于用户下载和使用。内容包含了各种Vista的安装与实施、技巧与解析以及各种Vista相关学习文档和相关软件的安全下载。该电子书是了解和应用Vista人员必备的工具手册，并且也是第一本 |
|||
| 名称：2006中国IT论坛精品集合 简介：本书由“51CTO论坛推广联盟”制作完成。书中所有内容均来自各联盟成员的论坛（网站）。制作本书的目的是为了集中大家的优势资源，将更多更精彩的内容带给广大技术爱好者。本书是联盟成立以来制作的第一本书。 |
|
|||
| · Java基础教程 · VPN技术 · ARP攻击防范与解决方案 · SQL Server 2005全解 · SOA 面向服务架构 · SQL Server 2005全解 · Java编程开发手册 · RAID——磁盘阵列基础 |
· 三层交换技术专题 · SQL Server入门到精通 · Windows Server 2003企.. · Windows远程桌面应用 · C#技术开发指南 · VPN技术 · Solaris 10 配置管理 · C#技术开发指南 |
||
|
|||
| · ARP攻击防范与解决方案 · VPN技术 · SQL Server 2005全解 · Java基础教程 · SQL Server入门到精通 · SQL Server 2005全解 · SOA 面向服务架构 · Java编程开发手册 |
· C#技术开发指南 · 三层交换技术专题 · C#技术开发指南 · Windows远程桌面应用 · RAID——磁盘阵列基础 · Windows Server 2003企.. · 邮件服务器专题 · wimax技术与趋势 |
||
 DB2 9技术资源中.. 推荐阅读 |
|
| ·DB2 Viper快速入门 ·DB2 9数据库的镜像分割与.. |
·将XML应用程序从DB2 8.x.. ·DB2 9中的pureXML：如何.. |
| 51CTO.com编辑部.. 推荐阅读 |
|
| ·服务器中的“傻瓜机”在.. ·盖茨也喜欢登录Youtube看.. |
· · |
| 张振伦 的博客 |
|
| ·拯救系统管理员 ·美国选民：我为什么选布什 |
·VMware公司中文命名挑战赛 ·我们真缺乏创新吗? |
| 梁林 的博客 |
|
| ·J0ker的CISSP之路：复习-.. ·J0ker的CISSP之路:复习-I.. |
·9月第3周安全回顾 内网安.. ·教你几招识别和防御Web网.. |
| 组网建网 |
安全频道 |
| · NGN:下一代网络 · 网络访问中断大排查 · FTTx光纤接入 |
· 教你使用Anti ARP Sniff.. · 网络嗅探教程：使用Snif.. · 常见病毒手工清除方法大.. |
| 编程频道 |
前沿技术 |
| · C++是垃圾语言？！ · 2007年IT界七大抄袭事件 · Java实用开发全集 |
· 解析Ajax开发框架 走进A.. · 基于Google Maps与Ajax.. · 基于Google Maps与Ajax.. |
| 操作系统 |
服务器 |
| · 热门 IT 培训认证官方资.. · Ubuntu 中文开源频道 · Solaris基础知识入门 |
· 费力不讨好 数据中心主.. · AMD Phenom三核处理器解.. · 51CTO主编推荐经典专题 |
| 数据库 |
存储频道 |
| · 甲骨文Oracle 11g正式发.. · Oracle数据库开发之PL/S.. · Oracle数据库开发基础教.. |
· 存储2006，一个并购的大.. · IDC宣布浪潮蝉联存储市.. · 双机热备技术 |
相关 
