知道怎么给文件脱壳吗?谢谢

Posted 2023-05-10

参考技术A 分类: 电脑/网络 >> 操作系统/系统故障
解析:

常用的文件脱壳方法

如果你要实现软件的DIY，最常见的一个必须做的步骤是——给文件进行脱壳。各个文件的壳，从而达到修改其资源的目的。所以花了点时间，把自己电脑里的脱壳软件做了点整理。

不过话又说回来。光是PEID能侦察到的壳的种类就有超过450种，所以要做到每一种的脱壳方法都讲清楚，那是不可能的，所以我精选了最常见的几种壳来做说明。

好了，不说废话了，进入主题，免得挨同学们骂：）

第一部分：查壳。

要想脱掉一个文件的壳，就要先了解到到底他穿的是金钟罩，还是铁布衫。

所以这里就要用到两种工具：

1，FileInfo 这个就不介绍了吧，连这咚咚都不知道的，我就真的没有语言了

2，peid 功能极为强大的，集脱壳和查壳为一体的软件，其本身不仅能察看文件加壳的类型，还能察看编写软件所使用的程序，如VC，VB，DEPHI等等，更变态的是，他自身所带的插件还能脱壳 ，汉化新世纪有11月21号更新的最新加强版。脱壳游戏要是没了它，我看还是别玩了，呵呵。

第二部分：查找切入口（这部分是进阶高手使用手动脱壳所必备的，对初手来说没有必要，不过为了完整性，还是发上来了）

这里所要用的的两种工具就是：

1，Blast Wave 2000

2，Asp_Loader

软件就不介绍了，因为。。。。一直在电脑里面，从来没用过，不知道该怎么用

第三部分：脱壳。（按照壳的强度排序）

1，ASProtect， 说他是加壳软件里的泰山北斗丝毫不过分，不过其强度不及tElock ，引用我们flying的原话：ASProtect 开创了壳的新时代。

针对这种壳，要脱掉，就要用到以下两个软件：

1）ASprStripper

2）CASPR

特别说明的是，第一种是用来脱ASProtect1.2x的壳，第二种是用来脱ASProtect1.2以前版本的壳的，脱之前看清楚就行了。

2，tElock壳，汉化界的千年老妖，梁利峰前辈开发的点睛字传替换器就是加的这个壳，这个壳曾经被人说成是“绝对防御”，他的出名，就在于他曾经让无数的的脱壳高手抓掉了大半的头发

不过后来，heXer写的untElock 终于结束了tElock的神话。。。

3，ASPack壳，目前最常见的壳，8层以上的软件都加的这个，不过这也是个很好脱掉的壳，直接用Aspackdie脱掉就行了。

4，UPX，也是比较常见的壳，其脱壳方法是最简单的，直接使用UPX的加壳软件的解压缩就能脱掉，不过，必须要特别说明一点的是，解压缩只能脱UPX的标准壳，要是遇到经过处理过后的UPX壳的话就不奏效了，这个时候就要用到另外一个修复UPX壳的软件：Upxfix了。用他将UPX的壳恢复成标准壳后再进行脱壳就没有问题了。

还有一件事情要特别说明的就是：前两天有人问我金山的壳怎么脱，我直接就回答用UPX解压来脱，不过后来，在我运行脱壳后的EXE文件的时候，却一直无法运行，可能就是因为金山用的UPX的非标准壳，不知道那位兄台脱壳后能否正常运行？还是我电脑的问题？不过我还是要为我的思考不周和仓促作答郑重的道歉。

好了，目前常见到的主流壳就这么多了，不过，在以前汉化软件的时候，还零散的遇到了一些其他的壳，在这里将他们的脱壳方法一起发上来，脱壳软件就不介绍了

1，幻影壳：使用undbpe。

2，Armadillo壳：使用dillodumper

3，Kryton壳：使用Krykiller

4，VFP程序：使用VFP&EXE Unpacker和VFP General Unpacker

5，SafeDisc壳：使用Safedisc Cleaner

最后是PRO32，一个已经被我打如冷宫的脱壳软件，现在我也基本上只用他来重建PE结构了，但是脱壳功能依然强大，能够脱掉大多数老式壳，可惜不更新了，真可惜。

第四部分：建议

建议1：大家先使用PEID试着脱壳，无法脱的时候再试PRO32，最后不行了的话再使用各种不同的有针对性的脱壳软件。

建议2：每遇到一个新鲜的没有见过的壳的时候，在网上查找他的脱壳方法，做好资源的收集和整理，相信以后不论什么样的壳都难不倒你了。

建议3：自认为这帖已经是目前先锋比较完善的关于文件脱壳的帖子了，有类似问题的也请善用搜索功能，这帖多少能够帮到你的，就不要再发重复的询问帖了，为论坛节约点空间嘛。。

建议4：大家要是遇到什么新奇的壳，可别忘了PM告诉我哦。。THX了

差不多就是这么多了，最后说几句话，因为脱壳多而不少的都涉及到软件的POJIE和ZHUCE，所以下载地址不方便发上来，软件版本号也做了隐藏，有需要的朋友可以自行网上查找。

谁能帮我脱壳一个东西

刚看着一个教程,一直说简单简单 我看完了跟着来 还是很不对 不会
呵呵 现在电脑上装了 ollydbg和peid了
我用ollybg打开软件的时候 出这样的东西:

入口点警告
模块'GameLogi' 入口点超出代码范围(在 PE 文件头中指定).可能这是一个自解压或自修改文件.请在设置断点时记住这一点!
...
谁能帮我远程脱下壳吗,愿意留下qq 我加你 谢谢```````````
成了再加分啊 呵呵
A用PEID查看壳为：SPack 2.12 -> Alexey Solodovnikov [Overlay]
好像脱了一部分壳了?
现在成这样了:ASPack 2.x (without poly) -> Alexey Solodovnikov
问题是 现在程序点了不运行 没任何反应

脱壳错误~~~
软件已经损坏~~~
重新找原来的软件脱壳 （不是好像脱了一点壳也有可能有2个壳继续脱壳！）
Aspck2.12的壳用脱壳机也可以搞定~
ESP跟踪法
1.F8，观察OD右上角寄存器中ESP有没有实现（红色）
2.命令行下 DD ******（当前代码ESP值），回车
3.DD就选中下端地址，断点-硬件访问-DWORD断点，F9运行，到跳转处按F8 到OEP

内存法
1.OD载入软件
2.点选项-调试选项-忽略全部-CTRL+F2重载
3.ALT+N打开内存镜像，找程序第一个.rsrc-F2下断-SHIFT+F9运行到断点，再打开找到程序第一个.rsrc上面的.code处（就是00401000处），F2下断-SHIFT+F9或无异常按F9，到OEP

一步到OEP法
只适合少数壳，如UPX，ASPACK
1.CTRL+F-输入：POPAD.回车查找-F2下断-F9运行到此处.
2.来到jmp大跳转处，点F8到OEP.

留下邮箱我看看吧~~
快升级了想要分呵呵 免费帮你脱壳吧
[e-mail]

做下广告
[e-mail]软件汉化收费服务~ 参考技术A 这是一个普通的压缩壳,后面还有附加数据,也就是说你脱完了壳还得补上附加数据,远程脱壳基本不可能,因为在本机3分钟可以完成的事情用远程得30分钟,太麻烦了
给你一个关键词吧:ESP定律