脱壳常用分析手法

• 首先从节表开始分析，一般压缩壳会有占位的节，文件映射一般为0，或者文件占位和内存占位相差比较大。
• 想要找到并分析解压缩算法，可以在写入数据的节区内下内存写入断点，会定位到解压代码。

IAT混淆

• IAT混淆其实是通过在IAT中填入我们设置好的地址，然后jmp或者call指令跳到真正api地址，增大反调试调试的成本。

IAT混淆步骤：

1. 获得api地址
2. 随机一个混淆方案
3. 写入IAT

• 基于以上步骤，如果我们想给IAT混淆过的PE文件打补丁，思路就是在步骤1之后直接跳到步骤3，略过选择混淆方案。

IAT混淆补丁

1. 程序打开，暂停到主模块
2. 找一个间接call，这里十有八九是call到IAT表的
3. 在IAT表下内存写入断点，知道断到往这块内存中写入地址的代码，那就是步骤3了，记下代码地址。
4. 接着F7单步跳，注意eax里的地址，当与当前模块跨度较大的时候，就要留意是不是系统api地址，找到获取api地址的汇编代码，记录下地址，这里是步骤1
5. 桥接，在步骤1记下的地址下改写一个jmp，跳到步骤3的地址，注意，如果栈没有平，需要我们手动平以下。

---

利用堆释放标志反调试

• HeapCreate
• HeapAlloc
• HeapFree
• HeapDestory
  以上函数是在Virtual系列的函数基础上封装的，用于分配内存块。
  只要是程序在被调试，不管是deug版还是release版，free之后里面的标志都会是FE，基于这个理论，可以写出以下程序

图片.png

Debug下运行

图片.png

直接运行

图片.png

---

识别应用程序的入口

• 程序入口分为“应用程序入口”和“语法规定的用户入口”，要识别main函数，首先要找到main函数的特征，也就是和别的函数不一样的地方，那就是参数有3个。带着这样的条件，在od或ida里寻找main函数也比较简单

图片.png

---

算术运算

优化术语：

常量折叠：当计算公式中出现多个常量进行计算的情况时，且编译器可以再编译期间计算出结果时，这样源码中所有常量计算都将被计算结果代替

常量传播：将编译期间可以计算出来结果的变量转换成常量，且满足条件变量在写入读取使用的这段时间内没有对它做参数传递（传地址）和其他写入操作。

加法

图片.png

- debug:

• const + const

  会产生常量折叠
  

图片.png

• const + var
  - var给寄存器，寄存器加常量
  

  图片.png

• var + var
  - 一个var从内存给寄存器，寄存器和另一个var所在内存相加
  

  图片.png

- Release:窥孔优化：先只做一部分的优化，并多次对小段代码进行优化，类似代码混淆的逆过程

图片.png

减法

和加法基本一样，注意有的编译器会对加负数（例如：-n）转换成加上n的补码

乘法

1. *2的幂
   • 优化为移位运算
2. *非2的幂
   • debug版编译器会直接先拆分，再进行运算
3. var*var
   * 优化不了，直接imul或mul