软件手动脱壳进阶

时间：2026-01-14

软件手动脱壳进阶

PEncrypt简介

Multi Layer Encryptor for the Decryptor. SoftICE, ICEDump Detection code. Crashes the OS in case it is found in memory. Anti ICEDump's /TRACEX command. Win9x compatible. Includes anti-debugging, anti-tracing routines.

看完简介，我们了解到这个壳对抗Softice的模拟跟踪，对抗调试器跟踪等。软件截图

脱壳目标 PEncrypt 4.0 加壳Win98的记事本，选择Win2000，Xp中反跟踪选项加密，Win9x/Me加密选项没选。

http://www.77cn.com.cn

软件后用Fi测NOTEPAD.EXE的壳为PEncrypt 4.0 Gamma / 4.0 Phi -> junkcode [重叠]

如何分辨加密壳和压缩壳，通用特点，Od载入时有入口警告或询问是压缩程序吗？普通压缩壳Od调试时候没有异常，加密壳全部有反跟踪代码，会有许多SEH陷阱使OD调试时产生异常。

找OEP的一般思路如下：

先看壳是加密壳还是压缩壳，压缩壳相对来说容易些，一般是没有异常。

外壳解压代码起始点如果是 pushfd

软件手动脱壳进阶

pushad

跟踪时如果有发现 popad popfd 对应有些壳只有 pushad 和 popad 相对应附近还有 retn jmp

等指令，发生跨断跳跃一般就到了OEP处。

当然也有其他的，如 je OEP等等，一般都是段之间的大跳转，OD的反汇编窗口里都是同一个段的内容，所以更好区别是否是段间跳转。

找Oep时注意两点。

1、单步往前走，不要回头。

2、观察。注意poshad、poshfd,popad、popfd等，和外壳代码处对应，注意地址发生大的变化。单步跟踪什么时候F8走，F7,F4步过？ http://www.77cn.com.cn

软件手动脱壳进阶

这里我说说关于F8(Step Over)和F7(Step in)的一般方法，粗跟的时候一般都是常用F8走，但是有些call是变形的Jmp，此时就需要F7代过，区别是否是变形Jmp的一个简单方法是比较call的目标地址和当前地址，如果两者离的很近，一般就是变形Jmp了，用F7走。对于Call的距离很远，可以放心用F8步过，如果你再用F7步过，只是浪费时间而已。F8步过对压缩壳用的很多，F7步过加密壳用的很多，如果用F8一不小心就跑飞（程序运行），跟踪失败。加密壳找Oep

对于加密壳，我的方法一般是用OD载入，钩掉所有异常（不忽略任何异常，除了忽略在KERNEL32 中的内存访问异常打勾。有时由于异常过多可以适当忽略一些异常），运行，数着用了多少次Shift+F9程序运行，显然最后一次异常后，程序会从壳跳到OEP开始执行，这就是我们寻找OEP的一个关键，如果程序 Shift+F9后直接退出，很明显加密壳检测调试器，最简单的应付方法就是用OD插件隐藏OD。

单步异常是防止我们一步步跟踪程序，即F8,F7，F4等，Int3中断是检测调试器用的，仅在Win9x系统中有效，2000/XP就会出现断点异常,其它的异常主要是干扰调试。这一系列的异常虽然干扰我们调试，但也给我们指明了一条通路，就是Shift+F9略过所有异常，然后找到最后一处异常，再它的恢复异常处下断点，跟踪到脱壳入口点。

确定从所有Seh异常中走出来，如果前面有大量循环，逐段解压。

当然你也可以用另一个好东西——Trace,在Command里来个tc eip<42b000 （42b000是当前段的起始位置，滚动条拖到最上面就能看到了,一般程序编译的基地址为400000），42b000只是例子，如果你的下模拟跟踪时机很准，确定没有Seh异常，稍等一会我们就会停在OEP处(对特别加密壳需要大量时间跟踪，因为它的循环极多，但比手动跟踪快，大部分时候是的。)详细跟踪情况可以点运行跟踪看OD跟踪记录。

我们来实际体会一下。

我们把Od中的选项－调试选项－异常选项卡中

除了忽略在KERNEL32 中的内存访问异常打勾，其余一个勾都不打，请检查自己的Od设置。

用OD载入程序后。

http://www.77cn.com.cn

Od提示程序加壳，选不继续分析。

00401000 > FC CLD 停在这里。 00401001 FC CLD 00401002 FC CLD 00401003 90 NOP

软件手动脱壳进阶

00401004 - E9 BDBA0000 JMP NOTEPAD.0040CAC6 00401009 - E3 D5 JECXZ SHORT NOTEPAD.00400FE0 0040100B 04 4F ADD AL,4F

0040100D - 74 A4 JE SHORT NOTEPAD.00400FB3

.................................................................. F9运行。

Od提示内存异常,Shift+F9继续运行。