電腦文件去殼

『壹』 木馬加殼去殼是什麼意思

殼的全稱應該是可執行程序資源壓縮,是保護文件的常用手段.
加殼過的程序可以直接運行,但是不能查看源代碼.要經過脫殼才可以查看源代碼.
加「殼」其實是利用特殊的演算法，對EXE、DLL文件里的資源進行壓縮。類似WINZIP 的效果，只不過這個壓縮之後的文件，可以獨立運行，解壓過程完全隱蔽，都在內存中完成。解壓原理，是加殼工具在文件頭里加了一段指令，告訴CPU，怎麼才能解壓自己。加「殼」雖然增加了CPU附帶但是減少了硬碟讀寫時間，實際應用時加「殼」以後程序運行速度更快（當然有的加「殼」以後會變慢，那是選擇的加「殼」工具問題）。
一般軟體都加「殼」這樣不但可以保護自己的軟體不被破解、修改還可以增加運行時啟動速度。
加「殼」不等於木馬，我們平時的巨大多數軟體都加了自己的專用「殼」。
RAR和ZIP都是壓縮軟體不是加「殼」工具，他們解壓時是需要進行磁碟讀寫，「殼」的解壓縮是直接在內存中進行的，用RAR或者ZIP壓縮一個病毒你試試解壓縮時殺毒軟體肯定會發現，而用加「殼」手段封裝老木馬，能發現的殺毒軟體就剩不下幾個

『貳』 exe vc6.0視頻文件去殼

需要看你是怎麼加的殼了，然後再在網路上找相關的去殼工具。實在不成，就自己分析，然後寫一個了。嘻嘻

『叄』 EXE文件如何去殼用什麼方法

用OD找到程序的真正入口!導出修復就可以了!

『肆』 求助 把一文件脫殼

步驟1 檢測殼

殼的概念：
所謂「殼」就是專門壓縮的工具。
這里的壓縮並不是我們平時使用的RAR、ZIP這些工具的壓縮，殼的壓縮指的是針對exe、com、和dll等程序文件進行壓縮，在程序中加入一段如同保護層的代碼，使原程序文件代碼失去本來面目，從而保護程序不被非法修改和反編譯，這段如同保護層的代碼，與自然界動植物的殼在功能上有很多相似的地方，所以我們就形象地稱之為程序的殼。

殼的作用：
1.保護程序不被非法修改和反編譯。
2.對程序專門進行壓縮，以減小文件大小，方便傳播和儲存。

殼和壓縮軟體的壓縮的區別是
壓縮軟體只能夠壓縮程序
而經過殼壓縮後的exe、com和dll等程序文件可以跟正常的程序一樣運行

下面來介紹一個檢測殼的軟體
PEID v0.92
這個軟體可以檢測出 450種殼
新版中增加病毒掃描功能，是目前各類查殼工具中，性能最強的。
另外還可識別出EXE文件是用什麼語言編寫的VC++、Delphi、VB或Delphi等。
支持文件夾批量掃描

我們用PEID對easymail.exe進行掃描
找到殼的類型了
UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
說明是UPX的殼
下面進行

步驟2 脫殼
對一個加了殼的程序，去除其中無關的干擾信息和保護限制，把他的殼脫去，解除偽裝，還原軟體本來的面目。這個過程就叫做脫殼。
脫殼成功的標志
脫殼後的文件正常運行，功能沒有損耗。
還有一般脫殼後的文件長度都會大於原文件的長度。
即使同一個文件，採用不同的脫殼軟體進行脫殼，由於脫殼軟體的機理不通，脫出來的文件大小也不盡相同。

關於脫殼有手動脫殼和自動脫殼
自動脫殼就是用專門的脫殼機脫 很簡單 按幾下就 OK了
手動脫殼相對自動脫殼 需要的技術含量微高 這里不多說了

UPX是一種很老而且強大的殼 不過它的脫殼機隨處就能找到
UPX本身程序就可以通過
UPX 文件名 －d
來解壓縮 不過這些需要的 命令符中輸入
優點方便快捷 缺點DOS界面
為了讓大家省去麻煩的操作 就產生了一種叫 UPX SHELL的外殼軟體

UPX SHELL v3.09
UPX 外殼程序！
目的讓UPX的脫殼加殼傻瓜化

註：如果程序沒有加殼 那麼我們就可以省去第二步的脫殼了，直接對軟體進行分析了。

脫完後 我們進行

步驟3
運行程序
嘗試注冊
獲取注冊相關信息

通過嘗試注冊 我們發現一個關鍵的字元串

「序列號輸入錯誤」

步驟4
反匯編

反匯編一般用到的軟體 都是 W32Dasm
W32dasm對於新手 易於上手 操作簡單
W32Dasm有很多版本 這里我推薦使用 W32Dasm 無極版

我們現在反匯編WebEasyMail的程序文件easymail.exe

然後看看能不能找到剛才的字元串

步驟5
通過eXeScope這個軟體來查看未能在w32dasm中正確顯示的字元串信息

eXeScope v6.50
更改字體，更改菜單，更改對話框的排列，重寫可執行文件的資源，包括(EXE，DLL，OCX）等。是方便強大的漢化工具，可以直接修改用 VC++ 及 DELPHI 編制的程序的資源，包括菜單、對話框、字元串表等
新版可以直接查看 加殼文件的資源

我們打開eXeScope
找到如下字串符

122,"序列號輸入錯誤 "
123,"恭喜您成為WebEasyMail正式用戶中的一員! "
124,注冊成功
125,失敗

重點是122

步驟6
再次返回 w32dasm

* Possible Reference to String Resource ID=00122: "?鰺e?"

但是雙擊後
提示說找不到這個字串符
不是沒有 是因為 "?鰺e?"是亂碼 w32dasm對於中文顯示不是太好
畢竟不是國產軟體

先把今天會用到的匯編基本指令跟大家解釋一下

mov a,b ;把b的值賦給a，使a＝b
call ：調用子程序 ，子程序以ret結為
ret ：返回主程序
je或jz ：若相等則跳轉
jne或jnz ：若不相等則跳轉
push xx：xx 壓棧
pop xx：xx 出棧

棧，就是那些由編譯器在需要的時候分配，在不需要的時候自動清楚的變數的存儲區。裡面的變數通常是局部變數、函數參數等。

我們搜索
Possible Reference to String Resource ID=00122
因為對E文支持很好
我們來到了

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00406F17(C) //跳轉來自 406F17
|

* Possible Reference to String Resource ID=00125: "1%"
|
:004070DD 6A7D push 0000007D
:004070DF 8D4C2410 lea ecx, dword ptr [esp+10]
:004070E3 E8F75A1200 call 0052CBDF

* Possible Reference to String Resource ID=00122: "?鰺e?"
|
:004070E8 6A7A push 0000007A
:004070EA 8D4C2408 lea ecx, dword ptr [esp+08]
:004070EE E8EC5A1200 call 0052CBDF

我們來到

:00406F01 8B876C080000 mov eax, dword ptr [edi+0000086C]這里是對
:00406F07 8B4C2408 mov ecx, dword ptr [esp+08]
:00406F0B 50 push eax//這兩個eax和ecx入棧就比較讓我們懷疑了
:00406F0C 51 push ecx//產生注冊碼
:00406F0D E8AE381100 call 0051A7C0//這CALL里對注冊位應該會有設置
:00406F12 83C40C add esp, 0000000C
:00406F15 85C0 test eax, eax// 檢測注冊位
:00406F17 0F85C0010000 jne 004070DD //不存在注冊位 就會跳到4070DD就會出現那個錯誤的字串符了

我們記住406F01這個地址

接著進行下一步

步驟7
這一步我們進行的是調試

用到的軟體是ollydbg

好了我們找到了 注冊碼0012AF04 00FD4A10 ASCII ""

但是這個並不是我們的主要目的

我們還要做出屬於自己的注冊機

相信這個是很多人夢寐以求的事情

步驟8
製作注冊機

注冊機我們需要的是一個KEYMAKE的軟體
因為2.0是演示版而且停止更新了
所以我們用1.73版

做一個內存注冊機 需要下面幾個資料

中斷地址：406F0C
中斷次數：1
第一位元組：51
指令長度：1

好了 一個完美的注冊機 就產生了
還不趕快發給你的朋友 炫耀一下
保證讓他迷糊死 佩服得你要死
其實最後還有幾個步驟
就是撰寫破文
不過大家都是新手 這個步驟 就去了吧

不知不覺說了這么多廢話 希望能對大家有些作用
如果有什麼不懂 不理解的事情 請聯系我 或者到論壇發貼
QQ:9595859
MSN:[email protected]
今天的課程就到這里 大家趕快去動手實踐吧～！

--------------------------------------------------------------------------------

-- 作者：admin
-- 發布時間：2005-10-11 11:13:00

-- 實戰查殼脫殼製作破解注冊機最詳細的教程

大家好，我是kcarhc
今天8月1日了 剛從醫院回來 正好凌晨
這期的課程做晚了 這里給大家道個歉
8月1日 如果我沒記錯
是建軍節
既然是建軍節 也要象徵性的弄些東西來
為了建軍節 這期我選擇打擊黑暗勢力－－黑社會

那麼今天的主題就是
－－－－－－－－－－－
迎接建軍節，鏟除黑社會
－－－－－－－－－－－
首先介紹軟體

黑社會2.0
[功能簡介]:
1 五大必備功能
遠程屏幕; 完全控制; 文件傳送; Telnet; 遠程關機
2 提供IP反彈定位功能
可以通過靜態IP動態域名,網頁文件的方式反彈通知IP.
3 集成vidc客戶端
內網的朋友想用自動上線功能,可以實現了
4 本軟體集成了常用攻擊工具(如OpenTelnet OpenTftp等)
通過IPC拷貝,而且帶有標準的拷貝進度,全球首次面世;
opentelnet就不介紹了,相信大家都知道;
opentftp為本軟體獨創,可以遠程開啟tftp服務;
5 本軟體集成的極速埠掃描器(掃描速度世界領先)
最開始我用的掃描器是大名鼎鼎的SuperScan3.0,感覺速度很慢;
後來改用SSPort1.0 掃描速度有了明顯的提高.
經過速度對比,本軟體掃描速度比SSPort快 1/3 ,是SuperScan的N倍!!!
我的機器是 賽揚700+256M內存,一般掃描速度為180台/秒;
一些號稱可以達到1000台/秒的掃描器在本機上試驗只有120台/秒.
－－－－－－－－－－－－－－－－－－－－
准備工作：

安裝黑社會
－－－－－－－－－－－－－－－－－－－－
步驟一 查殼

Peid v0.92
ASPack 2.12 -> Alexey Solodovnikov、
－－－－－－－－－－－－－－－－－－－－
步驟二 脫殼

手動脫殼

快速脫掉ASPACK所有版本的方法

的OEP關鍵點在下面

0048D3AF 61 POPAD
0048D3B0 75 08 JNZ SHORT 黑社會.0048D3BA
0048D3B2 B8 01000000 MOV EAX,1
0048D3B7 C2 0C00 RETN 0C//402c4a
0048D3BA 68 00000000 PUSH 0

402ca4就是我們要找的OEP

自動脫殼

AspackDie v1.41

這是一個小小的 PE 文件解壓縮器 (EXE, DLL, ...) 她可以解壓縮
自 Aspack 2000 以後的任何 Aspack 版本. 包括:

- Aspack 2000
- Aspack 2001
- Aspack 2.1
- Aspack 2.11
- Aspack 2.11c/d
- Aspack 2.12
- Aspack 2.12a/b
- 一些未知的版本

－－－－－－－－－－－－－－－－－－－
步驟三 試運行程序 發現突破點

看到關鍵字元串
「注冊碼錯誤!」
－－－－－－－－－－－－－－－－－－－
步驟四 W32DASM 尋找突破點

用w32dasm載入已經脫殼的程序
字元串察看
未發現 字元串 而是發現一堆亂碼
大家於是一定想到了第一節的辦法

用EXESCOPE
－－－－－－－－－－－－－－－－－－－
步驟四 察找 字元串

打開eXeScope 並載入 但是發現 都沒有字元串
這項
為啥呢？大家一定會疑問
一般用eXeScope查不到
我們將開始
－－－－－－－－－－－－－－－－－－－
步驟五 查詢軟體的編譯類型

Peid v0.92
Microsoft Visual Basic 5.0 / 6.0
－－－－－－－－－－－－－－－－－－－－
步驟六 採用GetVBRes v0.51 對付VB程序

GetVBRes v0.51 一個非常好的VB漢化工具

對於VB程序 我們用專門漢化用的GetVBRes v0.51來對付它
也許有人不理解 為啥用漢化工具呢
其實eXeScope也屬於漢化工具
GetVBRes載入黑社會
發現沒有亂碼了
看到的全是完整的字元
我們找到了
注冊碼錯誤!
這個字元串
接著為了能搞到程序關鍵點地址
我們把「注冊碼錯誤!」
改成111111
為啥改成111111因為111111111
保存修改
－－－－－－－－－－－－－－－－－－－－－
步驟六 用W32Dasm載入修改後的文件
發現字元串中有111111
那個就是我們修改的 原來是「注冊碼錯誤!」

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004792EF(C)
|
:00479474 B904000280 mov ecx, 80020004
:00479479 B80A000000 mov eax, 0000000A
:0047947E 894D9C mov dword ptr [ebp-64], ecx
:00479481 894DAC mov dword ptr [ebp-54], ecx
:00479484 894DBC mov dword ptr [ebp-44], ecx
:00479487 8D5584 lea edx, dword ptr [ebp-7C]
:0047948A 8D4DC4 lea ecx, dword ptr [ebp-3C]
:0047948D 894594 mov dword ptr [ebp-6C], eax
:00479490 8945A4 mov dword ptr [ebp-5C], eax
:00479493 8945B4 mov dword ptr [ebp-4C], eax

* Possible StringData Ref from Code Obj ->"1111111" //剛才我們看到的注冊嗎錯誤的哦
|
:00479496 C7458C98194100 mov [ebp-74], 00411998
:0047949D C7458408000000 mov [ebp-7C], 00000008

發現跳轉來自到4792EF
安照習慣 我們來到4792EF後 接著向前看
看到一個跳到這里的那個地址
這里是40928C

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00479278(C)
|
:0047928C 8B55E4 mov edx, dword ptr [ebp-1C]

* Reference T MSVBVM60.__vbaStrMove, Ord:0000h
|
:0047928F 8B3578124000 mov esi, dword ptr [00401278]
:00479295 8D4DE0 lea ecx, dword ptr [ebp-20]
:00479298 895DE4 mov dword ptr [ebp-1C], ebx
:0047929B FFD6 call esi
:0047929D 8B4DE8 mov ecx, dword ptr [ebp-18]
:004792A0 6A01 push 00000001
:004792A2 8D55E0 lea edx, dword ptr [ebp-20]
:004792A5 51 push ecx
:004792A6 52 push edx
:004792A7 E8440F0000 call 0047A1F0
:004792AC 8BD0 mov edx, eax
:004792AE 8D4DDC lea ecx, dword ptr [ebp-24]
:004792B1 FFD6 call esi
:004792B3 50 push eax
:004792B4 53 push ebx

* Reference T MSVBVM60.__vbaInStr, Ord:0000h
|
:004792B5 FF15E8114000 Call dword ptr [004011E8]
:004792BB 8BF0 mov esi, eax
:004792BD 8D45E8 lea eax, dword ptr [ebp-18]
:004792C0 F7DE neg esi
:004792C2 8D4DDC lea ecx, dword ptr [ebp-24]
:004792C5 50 push eax
:004792C6 1BF6 sbb esi, esi
:004792C8 8D55E0 lea edx, dword ptr [ebp-20]
:004792CB 51 push ecx
:004792CC 52 push edx
:004792CD F7DE neg esi
:004792CF 6A03 push 00000003
:004792D1 F7DE neg esi

* Reference T MSVBVM60.__vbaFreeStrList, Ord:0000h
|
:004792D3 FF150C124000 Call dword ptr [0040120C]
:004792D9 8D45D4 lea eax, dword ptr [ebp-2C]
:004792DC 8D4DD8 lea ecx, dword ptr [ebp-28]
:004792DF 50 push eax
:004792E0 51 push ecx
:004792E1 6A02 push 00000002

* Reference T MSVBVM60.__vbaFreeObjList, Ord:0000h
|
:004792E3 FF1548104000 Call dword ptr [00401048]
:004792E9 83C41C add esp, 0000001C
:004792EC 663BF3 cmp si, bx
:004792EF 0F847F010000 je 00479474

我們在
004792AC看到下面這些
EAX=0015A47C, (UNICODE "")
EDX=00000000

懷疑EAX為的

為注冊碼
－－－－－－－－－－－－－－－－－－
步驟七 用不確定正確的注冊 嘗試注冊

用

這個注冊後
我們發現 注冊成功
－－－－－－－－－－－－－－－－－－
步驟八 製做注冊機

Keymake v1.73

中斷地址：4792AC
中斷次數：1
第一位元組：8B
指令長度：2
－－－－－－－－－－－－－－－－－－
步驟九 發布注冊機

找一個網站比如黑基或者你的朋友之間
－－－－－－－－－－－－－－－－－－
步驟十 休息

黑社會終於幹掉了
現在去找你的男朋友或者女朋友
老公或者老婆
找個地方聊聊天 放鬆放鬆
告訴他們 你剛剛把黑社會 擺平了
一定很有趣的
－－－－－－－－－－－－－－－－－－
課程結束
－－－－－－－－－－－－－－－－－－
有事情大家可以去論壇
不過你如果性子急
或者嫌我回復的速度慢
我建議你直接聯系我
只要我在 基本可以馬上給你解答
不在可以留言
我的兩個聯系方式
QQ:9595859
MSN:[email protected]
最後 說一個事
我的女朋友最近生病了
所以才導致這期的課程 這么晚才做出來
希望大家能理解我
我還希望大家能祝福她早日康復
不然的話
你們見到我的日子可能會少了
甚至可能會消失在你們眼前
好了不說了 今天就是到此OVER吧
---------- kcarhc
2004年8月1日 凌晨 沈陽

--------------------------------------------------------------------------------

-- 作者：admin
-- 發布時間：2005-10-11 16:42:00

-- 使用OllyDbg快速脫殼

作者：KU-凌
目標：採用ASPACK、UPX加殼的NOTEPAD.EXE
工具：OllyDbg 1.09英文版、DUMP插件、PEditor
系統：Win98SE
關鍵詞： 脫殼、OllyDbg、OD、DUMP、PUSHAD、POPAD

預備知識
大多數殼都有一個共同的特點。在殼准備開始解壓時都要執行PUSHAD，當殼解壓
完時都要調用POPAD。到底PUSHAD和POPAD是什麼干什麼用的呢？其實PUSHAD是用來將
所有普通寄存器順序進棧的指令，POPAD是所有普通寄存器順序出棧指令。POPAD的出
棧順序和PUSHAD相反。殼為了保護寄存器，便在解壓前將所有寄存器進棧保護起來，
當解壓完成後又將寄存器出棧，恢復其原貌，並將IP設置為原程序的OEP。這樣我們就可以通過這個特點快速脫掉多種軟體的殼。

ASPACK篇
先用ASPACK將NOTEPAD.EXE加殼。用OllyDbg（以下簡稱OD）載入。看見游標停在
殼的入口處。
0040D001 >60PUSHAD ;殼的入口。准備開始解壓，保護寄存器
0040D002E8 03000000CALLNOTEPAD.0040D00A
……
我們不管它，直接向下翻頁找POPAD指令。在40D3AF處找到POPAD
……
0040D3AF61POPAD ;解壓完成，恢復寄存器
0040D3B075 08JNZSHORT NOTEPAD.0040D3BA
0040D3B2B8 01000000MOVEAX, 1
0040D3B7C2 0C00RETN0C
0040D3BA68 CC104000PUSHNOTEPAD.004010CC ;返回到原程序OEP處
0040D3BFC3RETN
……
選定40D3AF這一行，F4運行到此處。在這里說明殼已經完成解壓工作。並且返回到原
程序的入口處。F8單步到4010CC，這里便是原程序的OEP。用DUMP插件直接DUMP出來就可以了（在DUMP時注意將入口點改為10CC，即4010CC-400000=10CC，400000是映象基地址）。文件大小是77059位元組，用PEditor重建PE頭便可以了。未壓縮的文件大小是53248位元組，脫殼後的文件大小是60930位元組。

UPX篇
用UPX將NOTEPAD.EXE加殼，然後用OD載入。停在PUSHAD處，用脫ASPACK同樣的方
法，向下翻頁找POPAD。
……
0040E9FE61POPAD
0040E9FF- E9 C826FFFFJMPNOTEPAD.004010CC
……
下面的JMP就是跳轉到程序的OEP處。F4到40E9FF處，F8單步一下，來到OEP處，DUMP出來。DUMP文件的大小是65536位元組，直接就可以運行。為了完美，用PEditor重建PE頭。那麼脫殼後的文件大小是60293位元組。

後記
用上面說的方法，很多種殼都可以快速的手動脫掉。如果你沒有OD的DUMP插件，
可以到新論壇的下載區找。如果實在沒有，也可以直接停在OEP處用PEDump來DUMP。很久沒有寫東西了。這一篇是寫給初學者練手的。其實殼也是軟體，再怎麼復雜都有可能被脫下來。祝你好運。
另外，轉載時請保持本文的完整。

--------------------------------------------------------------------------------

-- 作者：admin
-- 發布時間：2005-10-11 17:10:00

-- 用Ollydbg手脫EncryptPE V1.2003.5.18加殼的DLL

有兄弟讓看看EncryptPE加殼的DLL，我說新版的就不行了，搞不定的。後來看是EncryptPE V1.2003.5.18舊版加殼的，應該用的是老王老師發布的免費版。呵呵，所以脫了一下，順便記錄過程。
大家可以自己用EncryptPE V1.2003.5.18免費版加個EdrLib.dll看看。

—————————————————————————————————
一、避開IAT加密

設置Ollydbg忽略所有的異常選項。用IsDebug 1.4插件去掉Ollydbg的調試器標志。
添加「同時忽略0EEDFADE、C0000008、009B25C、00953D74」異常。

代碼:--------------------------------------------------------------------------------
00877000 60 pushad//進入OD後停在這
00877001 9C pushfd
00877002 64:FF35 00000000 push dword ptr fs:[0]
00877009 E8 79010000 call EdrLib.00877187
--------------------------------------------------------------------------------

下斷：BP IsDebuggerPresent 斷下後取消斷點
現在我們Ctrl+G:711A0000
為何用這個地址？因為V12003518.EPE是相同的。呵呵，鑽了個舊版的空子。

其實可以再BP GetProcAddress，根據返回地址來判斷。如果返回地址是711XXXXX，說明這是V12003518.EPE的調用，就可以取消斷點Ctrl+F9返回了。具體情況以堆棧的返回地址為准。

現在Ctrl+S 在「整個區段」搜索命令序列：

代碼:--------------------------------------------------------------------------------
mov eax,edi
mov edx,dword ptr ss:[ebp-8]
mov dword ptr ds:[eax],edx
xor eax,eax
--------------------------------------------------------------------------------

找到在711A339F處，我們在711A339F處下個 硬體執行 斷點。
現在我們關閉Ollydbg，重新載入這個dll，直接Shift+F9運行，中斷在711A339F處

代碼:--------------------------------------------------------------------------------
711A339F 8BC7 mov eax,edi
711A33A1 8B55 F8 mov edx,dword ptr ss:[ebp-8]
//改為： mov edx,dword ptr ss:[ebp-4] ★ 正確函數寫入
711A33A4 8910 mov dword ptr ds:[eax],edx
711A33A6 33C0 xor eax,eax
711A33A8 5A pop edx
711A33A9 59 pop ecx
711A33AA 59 pop ecx
711A33AB 64:8910 mov dword ptr fs:[eax],edx
711A33AE EB 0A jmp short V1200351.711A33BA
--------------------------------------------------------------------------------

把711A33A1處修改好之後，取消以前下的711A339F處的斷點。
再Ctrl+S搜索命令序列：

代碼:--------------------------------------------------------------------------------
add ebx,4
mov eax,dword ptr ss:[ebp-4C]
add eax,4
--------------------------------------------------------------------------------

找到在711A43C2處，我們在下面xor eax,eax的711A4401下斷。Shift+F9運行

代碼:--------------------------------------------------------------------------------
711A43C2 83C3 04 add ebx,4
711A43C5 8B45 B4 mov eax,dword ptr ss:[ebp-4C]
711A43C8 83C0 04 add eax,4
711A43CB 8945 B4 mov dword ptr ss:[ebp-4C],eax
711A43CE 8B03 mov eax,dword ptr ds:[ebx]
711A43D0 85C0 test eax,eax
711A43D2 0F87 39FDFFFF ja V1200351.711A4111
711A43D8 A1 74C71B71 mov eax,dword ptr ds:[711BC774]
711A43DD 8038 00 cmp byte ptr ds:[eax],0
711A43E0 75 1F jnz short V1200351.711A4401
711A43E2 8B45 C4 mov eax,dword ptr ss:[ebp-3C]
711A43E5 83C0 14 add eax,14
711A43E8 8945 C4 mov dword ptr ss:[ebp-3C],eax
711A43EB 8B45 C4 mov eax,dword ptr ss:[ebp-3C]
711A43EE 8378 0C 00 cmp dword ptr ds:[eax+C],0
711A43F2 76 0D jbe short V1200351.711A4401
711A43F4 8B45 C4 mov eax,dword ptr ss:[ebp-3C]
711A43F7 8378 10 00 cmp dword ptr ds:[eax+10],0
711A43FB 0F87 38FCFFFF ja V1200351.711A4039//循環處理IAT
711A4401 33C0 xor eax,eax//此處下斷！ ★
--------------------------------------------------------------------------------

當我們中斷在711A4401處時IAT已經處理完畢，此時就可以用ImportREC得到正確的輸入表了。
因為EncryptPE後面有自校驗，所以我們返回711A33A1處，點右鍵－>撤銷選擇，恢復原來的代碼。

—————————————————————————————————
二、得到重定位表信息、獲得OEP

Ctrl+S 在「整個區段」搜索命令序列：

代碼:--------------------------------------------------------------------------------
mov edx,dword ptr ss:[ebp-24]
sub edx,dword ptr ds:[eax+34]
mov

『伍』 怎麼讓軟體脫殼

首先大家應該先明白「殼」的概念。在自然界中，大家對殼這東西應該都不會陌生了，植物用它來保護種子，動物用它來保護身體等等。同樣，在一些計算機軟體里也有一段專門負責保護軟體不被非法修改或反編譯的程序。它們一般都是先於程序運行，拿到控制權，然後完成它們保護軟體的任務。就像動植物的殼一般都是在身體外面一樣理所當然（但後來也出現了所謂的「殼中帶籽」的殼）。由於這段程序和自然界的殼在功能上有很多相同的地方，基於命名的規則，大家就把這樣的程序稱為「殼」了。就像計算機病毒和自然界的病毒一樣，其實都是命名上的方法罷了。

最早提出「殼」這個概念的，據我所知，應該是當年推出脫殼軟體 RCOPY 3 的作者熊焰先生。在幾年前的 DOS 時代，「殼」一般都是指磁碟加密軟體的段加密程序，可能是那時侯的加密軟體還剛起步不久吧，所以大多數的加密軟體（加殼軟體）所生成的「成品」在「殼」和需要加密的程序之間總有一條比較明顯的「分界線」。有經驗的人可以在跟蹤軟體的運行以後找出這條分界線來，至於這樣有什麼用這個問題，就不用我多說了。但畢竟在當時，甚至現在這樣的人也不是很多，所以當 RCOPY3 這個可以很容易就找出「分界線」，並可以方便的去掉「殼」的軟體推出以後，立即就受到了很多人的注意。老實說，這個我當年在《電腦》雜志看到廣告，在廣州電腦城看到標著999元的軟體，在當時來說，的確是有很多全新的構思，單內存生成 EXE 可執行文件這項，就應該是世界首創了。但它的思路在程序的表現上我認為還有很多可以改進的地方（雖然後來出現了可以加強其功力的 RO97），這個想法也在後來和作者的面談中得到了證實。在這以後，同類型的軟體想雨後春筍一般冒出來，記得住名字的就有： UNKEY、MSCOPY、UNALL .... 等等，但很多的軟體都把磁碟解密當成了主攻方向，忽略了其它方面，當然這也為以後的「密界剋星」「解密機器」等軟體打下了基礎，這另外的分支就不多祥談了，相信機齡大一點的朋友都應該看過當時的廣告了。

解密（脫殼）技術的進步促進、推動了當時的加密（加殼）技術的發展。LOCK95和 BITLOK 等所謂的「殼中帶籽」加密程序紛紛出籠，真是各出奇謀，把小小的軟盤也折騰的夠辛苦的了。正在國內的加殼軟體和脫殼軟體較量得正火紅的時候，國外的「殼」類軟體早已經發展到像 LZEXE 之類的壓縮殼了。這類軟體說穿了其實就是一個標準的加殼軟體，它把 EXE 文件壓縮了以後，再在文件上加上一層在軟體被執行的時候自動把文件解壓縮的「殼」來達到壓縮 EXE 文件的目的。接著，這類軟體也越來越多， PKEXE、AINEXE、UCEXE 和後來被很多人認識的 WWPACK 都屬於這類軟體，但奇怪的是，當時我看不到一個國產的同類軟體。

過了一段時間，可能是國外淘汰了磁碟加密轉向使用軟體序列號的加密方法吧，保護 EXE 文件不被動態跟蹤和靜態反編譯就顯得非常重要了。所以專門實現這樣功能的加殼程序便誕生了。 MESS 、CRACKSTOP、HACKSTOP、TRAP、UPS 等等都是比較有名氣的本類軟體代表，當然，還有到現在還是數一數二的，由台灣同胞所寫的 FSE 。其實以我的觀點來看，這樣的軟體才能算是正宗的加殼軟體。

在以上這些加殼軟體的不斷升級較勁中，很多軟體都把比較「極端」技術用了上去，因為在這個時候 DOS 已經可以說是給眾高手們玩弄在股掌之間了，什麼保護模式、反 SICE 、逆指令等等。相對來說，在那段時間里發表的很多國外脫殼程序，根本就不能對付這么多的加殼大軍，什麼 UPC、TEU 等等都紛紛成為必防的對象，成績比較理想的就只有 CUP386 了，反觀國內，這段時間里也沒了這方面的「矛盾斗爭」。加殼軟體門揮軍直搗各處要崗重地，直到在我國遇到了 TR 這個銅牆鐵壁以後，才紛紛敗下陣來各謀對策，但這已經是一年多以後的事情了。我常想，如果 TR 能早兩年「出生」的話，成就肯定比現在大得多，甚至蓋過 SICE 也有可能。TR 發表的時候 WIN95 的流行已經成為事實，DOS 還有多少的空間，大家心裡都清楚。但話又說回來， TR 的確是個好軟體，比起當年的 RCOPY3 有過之而無不及，同時也證明了我們中國的 CRACK 實力（雖然有點過時）。這個時候，前面提到過的 FSE 憑著強勁的實力也漸漸的浮出了水面，獨領風騷。其時已經是 1997 年年底了，我也走完了學生「旅程」。工作後在CFIDO 的 CRACK 區認識了 Ding-Boy ，不久 CRACK 區關了，我從此迷上了 INTERNET，並於98年6月建起了一個專門介紹「殼」的站台： http://topage.126.com;，放上了我所收集的所有「殼」類軟體。在這段時間里，各種「殼」類軟體也在不段的升級換代，但都沒什麼太大的進展，差不多就是 TR 和眾加殼軟體的版本數字之爭而已。
1998年8月，一個名為 UNSEC （揭秘）的脫殼軟體發表了，它號稱可以脫掉98年8月以前發表的所有殼。我測試之後，覺得並沒傳聞中的那麼厲害，特別是兼容性更是令我不想再碰它。 Ding-Boy 給這個軟體的作者提了很多建議，但寄去的 EMIAL 有如泥牛入海，可能是一怒之下吧，不久 Ding-Boy 的 BW （沖擊波）就誕生了。這個使用內存一次定位生成 EXE 文件（後來放棄了）的脫殼軟體，在我的站台公開後，得到了很多朋友們的肯定。要知道，從RCOPY 3 開始，絕大部分的脫殼軟體都是要兩次運行目標程序來確定 EXE 的重定位數據的。BW 的這一特點雖然有兼容性的問題，但也樹立了自己的風格、特色。經過幾個月的改善， BW 升級到了 2.0 版本，這個版本的推出可以說是 BW 的轉折點，因為它已經是一個成熟、穩定脫殼軟體了，它可以對付當時（現在）大多數的殼，包括當時最新的 FSE 0.6 等。更重要的是這個版本把選擇殼的和軟體「分界線」這個最令新手頭疼的步驟簡化到不能再簡化的地步，使更多的朋友接受了它。另外，能加強 BW 功力的 CI 模式也是其它脫殼軟體沒有的東西。最近，BW 發表了最新的 2.5 BETA2 版本，增強了一些方面的功能，因它竟然可以脫掉號稱最厲害的磁碟加密工具 LOCKKING 2.0 的加密殼，因而進一步奠定了它在「脫殼界」的地位。說到最新，就不能不提 GTR、LTR、EDUMP、ADUMP、UPS、UPX、APACK 這幾個國外的好軟體了，它們每個都有自己的特色，可以說都是當今各類「殼」中的最新代表了

『陸』 什麼叫做脫殼如何對rar文件脫殼

加殼和脫殼，簡單說就是軟體的加密和解密！

最早提出「殼」這個概念的，據我所知，應該是當年推出脫殼軟體 RCOPY 3 的作者熊焰先生。在幾年前的 DOS 時代，「殼」一般都是指磁碟加密軟體的段加密程序，可能是那時侯的加密軟體還剛起步不久吧，所以大多數的加密軟體（加殼軟體）所生成的「成品」在「殼」和需要加密的程序之間總有一條比較明顯的「分界線」。有經驗的人可以在跟蹤軟體的運行以後找出這條分界線來，至於這樣有什麼用這個問題，就不用我多說了。但畢竟在當時，甚至現在這樣的人也不是很多，所以當 RCOPY3 這個可以很容易就找出「分界線」，並可以方便的去掉「殼」的軟體推出以後，立即就受到了很多人的注意。老實說，這個我當年在《電腦》雜志看到廣告，在廣州電腦城看到標著999元的軟體，在當時來說，的確是有很多全新的構思，單內存生成 EXE 可執行文件這項，就應該是世界首創了。但它的思路在程序的表現上我認為還有很多可以改進的地方（雖然後來出現了可以加強其功力的 RO97），這個想法也在後來和作者的面談中得到了證實。在這以後，同類型的軟體想雨後春筍一般冒出來，記得住名字的就有： UNKEY、MSCOPY、UNALL .... 等等，但很多的軟體都把磁碟解密當成了主攻方向，忽略了其它方面，當然這也為以後的「密界剋星」「解密機器」等軟體打下了基礎，這另外的分支就不多祥談了，相信機齡大一點的朋友都應該看過當時的廣告了。

解密（脫殼）技術的進步促進、推動了當時的加密（加殼）技術的發展。LOCK95和 BITLOK 等所謂的「殼中帶籽」加密程序紛紛出籠，真是各出奇謀，把小小的軟盤也折騰的夠辛苦的了。正在國內的加殼軟體和脫殼軟體較量得正火紅的時候，國外的「殼」類軟體早已經發展到像 LZEXE 之類的壓縮殼了。這類軟體說穿了其實就是一個標準的加殼軟體，它把 EXE 文件壓縮了以後，再在文件上加上一層在軟體被執行的時候自動把文件解壓縮的「殼」來達到壓縮 EXE 文件的目的。接著，這類軟體也越來越多， PKEXE、AINEXE、UCEXE 和後來被很多人認識的 WWPACK 都屬於這類軟體，但奇怪的是，當時我看不到一個國產的同類軟體。

過了一段時間，可能是國外淘汰了磁碟加密轉向使用軟體序列號的加密方法吧，保護 EXE 文件不被動態跟蹤和靜態反編譯就顯得非常重要了。所以專門實現這樣功能的加殼程序便誕生了。 MESS 、CRACKSTOP、HACKSTOP、TRAP、UPS 等等都是比較有名氣的本類軟體代表，當然，還有到現在還是數一數二的，由台灣同胞所寫的 FSE 。其實以我的觀點來看，這樣的軟體才能算是正宗的加殼軟體。

在以上這些加殼軟體的不斷升級較勁中，很多軟體都把比較「極端」技術用了上去，因為在這個時候 DOS 已經可以說是給眾高手們玩弄在股掌之間了，什麼保護模式、反 SICE 、逆指令等等。相對來說，在那段時間里發表的很多國外脫殼程序，根本就不能對付這么多的加殼大軍，什麼 UPC、TEU 等等都紛紛成為必防的對象，成績比較理想的就只有 CUP386 了，反觀國內，這段時間里也沒了這方面的「矛盾斗爭」。加殼軟體門揮軍直搗各處要崗重地，直到在我國遇到了 TR 這個銅牆鐵壁以後，才紛紛敗下陣來各謀對策，但這已經是一年多以後的事情了。我常想，如果 TR 能早兩年「出生」的話，成就肯定比現在大得多，甚至蓋過 SICE 也有可能。TR 發表的時候 WIN95 的流行已經成為事實，DOS 還有多少的空間，大家心裡都清楚。但話又說回來， TR 的確是個好軟體，比起當年的 RCOPY3 有過之而無不及，同時也證明了我們中國的 CRACK 實力（雖然有點過時）。這個時候，前面提到過的 FSE 憑著強勁的實力也漸漸的浮出了水面，獨領風騷。其時已經是 1997 年年底了，我也走完了學生「旅程」。工作後在CFIDO 的 CRACK 區認識了 Ding-Boy ，不久 CRACK 區關了，我從此迷上了 INTERNET，並於98年6月建起了一個專門介紹「殼」的站台： http://topage.126.com ;;，放上了我所收集的所有「殼」類軟體。在這段時間里，各種「殼」類軟體也在不段的升級換代，但都沒什麼太大的進展，差不多就是 TR 和眾加殼軟體的版本數字之爭而已。
1998年8月，一個名為 UNSEC （揭秘）的脫殼軟體發表了，它號稱可以脫掉98年8月以前發表的所有殼。我測試之後，覺得並沒傳聞中的那麼厲害，特別是兼容性更是令我不想再碰它。 Ding-Boy 給這個軟體的作者提了很多建議，但寄去的 EMIAL 有如泥牛入海，可能是一怒之下吧，不久 Ding-Boy 的 BW （沖擊波）就誕生了。這個使用內存一次定位生成 EXE 文件（後來放棄了）的脫殼軟體，在我的站台公開後，得到了很多朋友們的肯定。要知道，從RCOPY 3 開始，絕大部分的脫殼軟體都是要兩次運行目標程序來確定 EXE 的重定位數據的。BW 的這一特點雖然有兼容性的問題，但也樹立了自己的風格、特色。經過幾個月的改善， BW 升級到了 2.0 版本，這個版本的推出可以說是 BW 的轉折點，因為它已經是一個成熟、穩定脫殼軟體了，它可以對付當時（現在）大多數的殼，包括當時最新的 FSE 0.6 等。更重要的是這個版本把選擇殼的和軟體「分界線」這個最令新手頭疼的步驟簡化到不能再簡化的地步，使更多的朋友接受了它。另外，能加強 BW 功力的 CI 模式也是其它脫殼軟體沒有的東西。最近，BW 發表了最新的 2.5 BETA2 版本，增強了一些方面的功能，因它竟然可以脫掉號稱最厲害的磁碟加密工具 LOCKKING 2.0 的加密殼，因而進一步奠定了它在「脫殼界」的地位。說到最新，就不能不提 GTR、LTR、EDUMP、ADUMP、UPS、UPX、APACK 這幾個國外的好軟體了，它們每個都有自己的特色，可以說都是當今各類「殼」中的最新代表了。（這些軟體和詳細介紹請到我的主頁查閱）

由於 WINDOWS 3.1 只是基於 DOS 下的一個圖形外殼，所以在這個平台下的「殼」類軟體很少，見過的就只有像 PACKWIN 等幾個有限的壓縮工具，終難成氣候。

可能是 MICROSOFT 保留了 WIN95 的很多技術上的秘密吧，所以即便是 WIN95 已經推出了 3 年多的時間，也沒見過在其上面運行的「殼」類軟體。直到 98 年的中期，這樣的軟體才遲遲的出現，而這個時候 WIN98 也發表了有一段日子了。應該是有 DOS 下的經驗吧，這類的軟體不發表由自可，一發表就一大批地的沖了出來。先是加殼類的軟體如： BJFNT、PELOCKNT 等，它們的出現，使暴露了 3 年多的 WIN95 下的 PE 格式 EXE 文件得到了很好的保護。大家都應該知道現在很多 WIN95 下的軟體都是用注冊碼的方法來區分、確定合法與非法用戶的吧，有了這類加殼軟體，這種注冊方法的安全性提高了不少，如果大家也有自己編的 WIN95 程序，就一定要多留意一下本類軟體了。接著出現的就是壓縮軟體了，因為 WIN95 下運行的 EXE 文件「體積」一般都比較大，所以它的實用價值比起 DOS 下的壓縮軟體要大很多，這類的軟體也很多，早些時候的 VBOX、PEPACK、PETITE 和最近才發表的 ASPACK、UPX 都是其中的佼佼者。在 DOS 下很流行的壓縮軟體 WWPACK 的作者也推出了對應 WIN95 版本的 WWPACK32，由於性能並不是十分的突出，所以用的人也不太多。由於壓縮軟體其實也是間接給軟體加了殼，所以用它們來處理 EXE 也是很多軟體作者喜歡做的事情，最近新發表的很多軟體里都可以看到這些加殼、加壓縮軟體的名字了。有加殼就一定會有脫殼的，在 WIN95 下當然也不例外，但由於編這類軟體比編加殼軟體要難得多，所以到目前為止，我認為就只有 PROCDUMP 這個軟體能稱為通用脫殼軟體了，它可以對付現在大多數的加殼、壓縮軟體所加的殼，的確是一個難得的精品。其它的脫殼軟體多是專門針對某某加殼軟體而編，雖然針對性強、效果好，但收集麻煩，而且這樣的脫殼軟體也不多。前些時候 TR 作者也順應潮流發表了 TR 的 WIN95 版本： TRW ，由現在的版本來看可以對付的殼還不多，有待改進。

BW 的作者 Ding-Boy 最新發表了一個 WIN95 的 EXE 加殼軟體 DBPE 。雖然它還不太成熟，但它可以為軟體加上使用日期限制這個功能是其它加殼軟體所沒有的，或者以後的加殼軟體真的會是像他說的那樣可以：加殼和壓縮並重、並施；隨意加使用日期；加上注冊碼；加軟體狗（磁碟）保護；加硬體序列號判別；加... 。

『柒』 一個文件夾中有多個子文件夾如何將其中某個文件夾的殼去掉而其中的內容依然保留

最笨的辦法就是直接把子文件夾裡面的文件剪切到外面，然後把那個子文件夾刪掉！

『捌』 偵測殼的軟體和去殼軟體通常有

五、常用脫殼工具：1、文件分析工具（偵測殼的類型）：Fi，GetTyp，peid，pe-scan，2、OEP入口查找工具：SoftICE，TRW，ollydbg，loader，peid3、mp工具：IceDump，TRW，PEditor，ProcDump32，LordPE4、PE文件編輯工具PEditor，ProcDump32，LordPE5、重建Import Table工具：ImportREC，ReVirgin6、ASProtect脫殼專用工具：Caspr（ASPr V1.1-V1.2有效），Rad（只對ASPr V1.1有效），loader，peid（1）Aspack：用的最多，但只要用UNASPACK或PEDUMP32脫殼就行了（2）ASProtect+aspack：次之，國外的軟體多用它加殼，脫殼時需要用到SOFTICE+ICEDUMP，需要一定的專業知識，但最新版現在暫時沒有辦法。（3）Upx： 可以用UPX本身來脫殼，但要注意版本是否一致，用-D 參數（4）Armadill： 可以用SOFTICE+ICEDUMP脫殼，比較煩（5）Dbpe： 國內比較好的加密軟體，新版本暫時不能脫，但可以破解（6）NeoLite： 可以用自己來脫殼（7）Pcguard： 可以用SOFTICE+ICEDUMP+FROGICE來脫殼（8）Pecompat： 用SOFTICE配合PEDUMP32來脫殼，但不要專業知識（9）Petite： 有一部分的老版本可以用PEDUMP32直接脫殼，新版本脫殼時需要用到SOFTICE+ICEDUMP，需要一定的專業知識（10）WWpack32： 和PECOMPACT一樣其實有一部分的老版本可以用PEDUMP32直接脫殼，不過有時候資源無法修改，也就無法漢化，所以最好還是用SOFTICE配合 PEDUMP32脫殼 我們通常都會使用Procmp32這個通用脫殼軟體，它是一個強大的脫殼軟體，他可以解開絕大部分的加密外殼，還有腳本功能可以使用腳本輕松解開特定外殼的加密文件。另外很多時候我們要用到exe可執行文件編輯軟體ultraedit。我們可以下載它的漢化注冊版本，它的注冊機可從網上搜到。ultraedit打開一個中文軟體，若加殼，許多漢字不能被認出 ultraedit打開一個中文軟體，若未加殼或已經脫殼，許多漢字能被認出 ultraedit可用來檢驗殼是否脫掉，以後它的用處還很多，請熟練掌握例如，可用它的替換功能替換作者的姓名為你的姓名注意位元組必須相等，兩個漢字替兩個，三個替三個，不足處在ultraedit編輯器左邊用00補。

『玖』 給文件加殼，加花，去殼，分別是什麼意思

加殼：其實是利用特殊的演算法，對可執行文件里的資源進行壓縮，只不過這個壓縮之後的文件，可以獨立運行，解壓過程完全隱蔽，都在內存中完成。附加在原程序上通過載入器載入內存後，先於原始程序執行，得到控制權，執行過程中對原始程序進行解密、還原，還原完成後再把控制權交還給原始程序，執行原來的代碼部分。

加上外殼後，原始程序代碼在磁碟文件中一般是以加密後的形式存在的，只在執行時在內存中還原，這樣就可以比較有效地防止破解者對程序文件的非法修改，同時也可以防止程序被靜態反編譯。

加花：是在一些反匯編軟體中加入一些花指令，花指令是利用了反匯編時單純根據機器指令字來決定反匯編結果的漏洞。

去殼：顧名思義，就是對軟體加殼的逆操作，把軟體上存在的殼去掉。在一些計算機軟體里也有一段專門負責保護軟體不被非法修改或反編譯的程序。

一般都是先於程序運行，拿到控制權，然後完成它們保護軟體的任務。由於這段程序和自然界的殼在功能上有很多相同的地方，基於命名的規則，大家就把這樣的程序稱為「殼」了。就像計算機病毒和自然界的病毒一樣，其實都是命名上的方法罷了。

(9)電腦文件去殼擴展閱讀：

加「殼」雖然增加了CPU負擔，但是減少了硬碟讀寫時間，實際應用時加「殼」以後程序運行速度更快（當然有的加「殼」以後會變慢，那是選擇的加「殼」工具問題）。

一般軟體都加「殼」這樣不但可以保護自己的軟體不被破解、修改還可以增加運行時啟動速度。

加「殼」不等於木馬，平時的絕大多數軟體都加了自己的專用「殼」。

RAR和ZIP都是壓縮軟體，不是加「殼」工具，解壓時是需要進行磁碟讀寫，「殼」的解壓縮是直接在內存中進行的。

『拾』 upx殼怎麼去除

upx脫殼常見方法是esp定律脫殼法，具體操作如下：使用OD載入程序後，按F8進行單步跟蹤，注意右上角的寄存器窗口，當發現ESP和EIP的值同時變紅時（表示同時發生了變化）。在寄存器窗口中點擊右鍵，選擇「數據窗口中跟隨」。然後在右下角的內存窗口中，點擊右鍵，選擇「斷點」——「硬體訪問」——「字」。最後按F9運行程序，就會直接來到程序的OEP附件了。最後記得要刪除剛剛下的硬體斷點。通過菜單欄上選擇「調試」——「硬體斷點」，就會看到剛剛下的斷點，刪除即可。