如何使用ESP技巧进行解包可执行文件

本篇文章给大家分享的是有关如何使用ESP技巧进行解包可执行文件，小编觉得挺实用的，因此分享给大家学习，希望大家阅读完这篇文章后可以有所收获，话不多说，跟着小编一起来看看吧。

创新互联网站建设由有经验的网站设计师、开发人员和项目经理组成的专业建站团队，负责网站视觉设计、用户体验优化、交互设计和前端开发等方面的工作，以确保网站外观精美、成都做网站、成都网站设计易于使用并且具有良好的响应性。

加壳与解包

加壳软件可以帮助你对可执行文件进行压缩，就跟zip文件差不多。一般来说，当你在使用zip文件时，需要手动进行解压缩。但是对于加壳来说，它会在可执行文件的代码中添加一部分不会被压缩的“运行时封装器”代码。当你运行这个可执行文件时，这部分未被封装的代码将会对可执行文件中其他已被封装的恶意代码进行解包并运行。

识别加壳

如何识别这种加壳的恶意软件呢？其中一种方法就是检查其中的字符串信息，但是加壳后的可执行文件中并没有大量字符串可以查看。你也可以对代码中import的类和库进行分析，但加了壳的可执行文件并不会显示这部分内容，这样可以增加逆向分析的难度。因此，为了对加壳的恶意软件成功进行逆向分析，我们需要对其一直调试直到发现了未压缩的代码为止，然后对导出的可执行文件代码进行分析。

这里可以使用“ESP技巧”，也就是ESP寄存器。我们可以利用这种技术在ESP寄存器中设置硬件断点，当我们转移到改断点时，也就是到达了程序的入口点（OEP）。接下来，我们就可以将剩下的可执行文件导出，并得到解包后的可执行文件代码了。

解包夺旗游戏

我们专门开发了一个小程序来演示如何手动解包可执行文件，你可以点击【这里】获取。其实这就是一个夺旗小游戏，当你找到了正确的密码之后，你需要输入并尝试拿到Flag。你可以在Radare2中通过比对字符串数据来寻找到密码，或者你也可以直接使用“strings”命令来搜索，但如果程序加了壳的话，又该怎么办呢？因此，我们这里使用了免费的UPX封装器来对代码进行封装加壳，它的解包过程也比较简单，所以它是一款非常适合学习的工具。祝大家好运！

过程分析

当我们使用rabin2运行封装的可执行程序并查看import信息时，我们可以看到这里几乎没有什么信息，而且字符串也看不出什么字面意思：

$rabin2 -i UPX_Proj_Packed.exe                                                         [Imports]                                                                                      0010x0040d03c NONE FUNC KERNEL32.DLL_LoadLibraryA                                            002 0x0040d040 NONE FUNC KERNEL32.DLL_ExitProcess                                               003 0x0040d044 NONE FUNCKERNEL32.DLL_GetProcAddress                                           0040x0040d048 NONE FUNC KERNEL32.DLL_VirtualProtect                                           0010x0040d050 NONE FUNC msvcrt.dll__iob                                                        $

很明显，这是一个经过封装的程序。我们可以PEiD工具来查看它所使用的封装器信息：

如何使用ESP技巧进行解包可执行文件

你可以看到，这里使用的是UPX封装器。当然了，这种封装器拆封起来非常简单，你也可以直接下载UPX拆封程序来进行解包。但我们这里要演示的是如何手动实现这个过程，所以接下来我们在x64dbg中启动程序，然后按下F9，直到我们到达应用程序的入口点位置。X64dbg会直接用“EntryPoint”对入口点进行标记，这里我们使用了pushal指令对入口点设置识别符。

如何使用ESP技巧进行解包可执行文件