转载

ESP技巧：教你如何解包可执行文件

恶意软件开发者会使用各种方法绕过反病毒产品，他们可以对字符串进行混淆处理，或者使用其他软件的证书来对恶意软件进行签名。其中最常用的一种方法就是利用封装器来对恶意软件进行压缩，并让反病毒软件无法检测到它们，这也就是俗称的“加壳”。因此，作为一名恶意软件分析人员来说，我们应该了解加壳机制，并清楚如何解包可执行文件。

加壳与解包

加壳软件可以帮助你对可执行文件进行压缩，就跟zip文件差不多。一般来说，当你在使用zip文件时，需要手动进行解压缩。但是对于加壳来说，它会在可执行文件的代码中添加一部分不会被压缩的“运行时封装器”代码。当你运行这个可执行文件时，这部分未被封装的代码将会对可执行文件中其他已被封装的恶意代码进行解包并运行。

识别加壳

如何识别这种加壳的恶意软件呢？其中一种方法就是检查其中的字符串信息，但是加壳后的可执行文件中并没有大量字符串可以查看。你也可以对代码中import的类和库进行分析，但加了壳的可执行文件并不会显示这部分内容，这样可以增加逆向分析的难度。因此，为了对加壳的恶意软件成功进行逆向分析，我们需要对其一直调试直到发现了未压缩的代码为止，然后对导出的可执行文件代码进行分析。

这里可以使用“ESP技巧”，也就是ESP寄存器。我们可以利用这种技术在ESP寄存器中设置硬件断点，当我们转移到改断点时，也就是到达了程序的入口点（OEP）。接下来，我们就可以将剩下的可执行文件导出，并得到解包后的可执行文件代码了。

解包夺旗游戏

我们专门开发了一个小程序来演示如何手动解包可执行文件，你可以点击【这里】获取。其实这就是一个夺旗小游戏，当你找到了正确的密码之后，你需要输入并尝试拿到Flag。你可以在Radare2中通过比对字符串数据来寻找到密码，或者你也可以直接使用“strings”命令来搜索，但如果程序加了壳的话，又该怎么办呢？因此，我们这里使用了免费的UPX封装器来对代码进行封装加壳，它的解包过程也比较简单，所以它是一款非常适合学习的工具。祝大家好运！

过程分析

当我们使用rabin2运行封装的可执行程序并查看import信息时，我们可以看到这里几乎没有什么信息，而且字符串也看不出什么字面意思：

$rabin2 -i UPX_Proj_Packed.exe                                                         [Imports]                                                                                      0010x0040d03c NONE FUNC KERNEL32.DLL_LoadLibraryA                                            002 0x0040d040 NONE FUNC KERNEL32.DLL_ExitProcess                                               003 0x0040d044 NONE FUNCKERNEL32.DLL_GetProcAddress                                           0040x0040d048 NONE FUNC KERNEL32.DLL_VirtualProtect                                           0010x0040d050 NONE FUNC msvcrt.dll__iob                                                        $

很明显，这是一个经过封装的程序。我们可以 PEiD 工具来查看它所使用的封装器信息：

ESP技巧：教你如何解包可执行文件

你可以看到，这里使用的是UPX封装器。当然了，这种封装器拆封起来非常简单，你也可以直接下载UPX拆封程序来进行解包。但我们这里要演示的是如何手动实现这个过程，所以接下来我们在x64dbg中启动程序，然后按下F9，直到我们到达应用程序的入口点位置。X64dbg会直接用“EntryPoint”对入口点进行标记，这里我们使用了pushal指令对入口点设置识别符。

ESP技巧：教你如何解包可执行文件