加壳与脱壳基础：UPX加壳原理、ESP定律脱壳、寻找OEP、Dump与重建导入表
各位同学，今天我们来聊聊逆向工程里一个绕不开的话题——加壳与脱壳。说实话，我刚开始学逆向那会儿，最头疼的就是碰到加壳的程序。你辛辛苦苦分析半天，结果发现代码全是乱码，根本没法看。后来我才明白，这其实是软件保护的一种常见手段。
加壳，说白了就是把原始程序压缩或加密，外面再包一层“壳”代码。程序运行时，壳先执行，把原始代码解压到内存里，再跳转到真正的入口点（OEP）执行。我们做逆向的，第一步往往就是脱壳，把原始程序还原出来。
今天咱们就以UPX为例，把加壳脱壳的整套流程走一遍。UPX是个开源压缩壳，结构简单，非常适合入门。我会带着大家从原理到实战，一步步搞定它。
核心知识点一览：
- UPX加壳原理：压缩、分段、入口点修改
- ESP定律脱壳：利用栈指针变化定位OEP
- 寻找OEP：单步跟踪、内存断点、ESP定律
- Dump内存：将解压后的程序从内存中抓取出来
- 重建导入表：修复脱壳后程序的导入函数
UPX加壳原理
UPX的工作原理其实不复杂。它把原始PE文件的代码段和数据段压缩，然后插入一段自己的解压代码。程序启动时，先执行UPX的壳代码，把压缩的内容解压到内存里，最后跳转到原始OEP。
我个人习惯把加壳后的程序想象成一个带包装的快递。壳代码就是那个包装盒，原始程序是里面的商品。你拿到快递时，得先拆包装（壳执行），才能看到商品（原始代码）。
UPX加壳时主要做了这几件事：
- 压缩代码段：用LZ77算法压缩.text和.data段
- 添加UPX段：插入名为UPX0、UPX1的新段，存放壳代码和压缩数据
- 修改OEP：将PE头中的入口点指向壳代码起始地址
- 重定位处理：对压缩后的数据进行重定位修正
你想想看，如果程序被加壳了，你用IDA直接打开，看到的全是壳代码，根本找不到原始逻辑。这就是为什么脱壳是逆向的第一步。
ESP定律脱壳
ESP定律是我个人最喜欢用的脱壳技巧，没有之一。它的原理很简单：当壳代码执行完，准备跳转到OEP时，栈顶指针ESP的值会指向一个特定的位置。我们只要在ESP值发生变化的地方下断点，就能精准定位到OEP附近。
为什么会这样？因为大多数壳在解压完成后，会通过一条pushad/popad指令来恢复寄存器状态。执行popad后，ESP的值会变回原始程序入口时的状态。我们抓住这个瞬间，就能找到OEP。
实战技巧：在OllyDbg中加载UPX加壳的程序后，先执行到壳入口。然后在命令行输入hr esp（硬件访问断点），按F9运行。程序会在ESP值被访问时断下，此时离OEP通常只有几步之遥。
我记得有一次分析一个恶意软件，它用了UPX的变种，壳代码做了些混淆。但ESP定律依然有效——因为不管壳怎么变，它最终都要恢复原始程序的执行环境。这个底层逻辑是改不了的。
寻找OEP
找到OEP是脱壳的关键一步。除了ESP定律，还有几种常用方法：
- 单步跟踪法：从壳入口一步步F8走，遇到
call或jmp时小心处理。这个方法比较费时，但适合新手理解壳的执行流程。 - 内存断点法：在程序代码段下内存访问断点，当壳解压完代码并开始执行时断下。
- ESP定律法：上面讲过了，效率最高，推荐优先使用。
用ESP定律找到OEP后，你会看到类似这样的代码：
00401000 push ebp
00401001 mov ebp, esp
00401003 sub esp, 0x40
...嗯，这里要注意。看到push ebp开头的代码，基本可以确定这就是原始OEP。因为VC++、Delphi等编译器生成的程序入口，通常都是这个模式。
Dump内存
找到OEP后，我们需要把内存中已经解压好的程序抓取出来，这个过程叫Dump。常用的工具有LordPE、OllyDump等。
操作步骤很简单：
- 在OEP处暂停程序执行
- 打开LordPE，选择目标进程
- 右键点击模块，选择"Dump完整内存"
- 保存为新的PE文件
注意：Dump出来的文件还不能直接运行。因为导入表（IAT）还是被壳修改过的状态，需要重建。如果你直接运行Dump出来的程序，十有八九会崩溃。
我曾经犯过这个错误——Dump完就以为大功告成了，结果双击运行直接报错。后来才意识到，导入表没修复，程序根本找不到API函数。
重建导入表
重建导入表是脱壳的最后一步，也是最容易出问题的一步。我们用ImportREC这个工具来完成。
具体流程：
- 在OllyDbg中定位到OEP，记下地址
- 打开ImportREC，选择目标进程
- 填入OEP地址（注意是RVA，不是VA）
- 点击"自动搜索IAT"，工具会扫描内存中的导入函数
- 点击"获取导入表"，查看识别结果
- 点击"修复转储文件"，选择之前Dump出来的文件
ImportREC会生成一个新的文件，通常命名为xxx_.exe。这个文件就是脱壳后的程序，可以正常运行了。
避坑指南：如果自动搜索IAT失败，可以尝试手动指定IAT的起始地址和大小。我一般先在OllyDbg中查看内存布局，找到包含大量API地址的连续内存块，那就是IAT所在位置。
有时候重建导入表后程序还是跑不起来，别慌。检查一下是不是有delayed import（延迟导入）或者bound import（绑定导入）没处理好。这些情况比较少见，但遇到了也别怕，手动修复一下就行。
总结
加壳与脱壳，说白了就是一场猫鼠游戏。壳的作者想方设法隐藏原始代码，我们逆向工程师则想方设法把它还原出来。UPX只是个开始，后面还有更复杂的壳等着你们。
我个人建议，初学者先把UPX的脱壳流程练熟，做到闭着眼睛都能操作。然后可以试试UPX的变种，或者换其他壳如ASPack、FSG来练习。脱壳的核心思想是相通的——找到OEP、Dump内存、重建IAT，这三步走完，大部分壳都能搞定。
好了，今天的课就到这里。记住，多动手、多踩坑，才能真正掌握脱壳这门手艺。
公众号:蓝海资料掘金营，微信deep3321