压缩壳-压缩程序体积
免杀壳-规避杀毒等
虚拟化壳-vmprotect ，使用代码虚拟化（虚拟机或源码虚拟化）
保存入口点
API
解压或解密
IAT-初始化
重定位
HOOK
脱壳：
PEID查看
加壳的程序一般多一个奇怪的区段
IDA-字符串、无法解析、导入表结构等
kernei32.getprocAddress 获取函数地址的api
TEB：0x30 = PEB 判断系统版本
虚拟化或者一步一加密的就不好使了
od插件
c+a修复
ollydump脱壳调试进程
1.目的
2.方法
3.恶意代码类型
主流：
1、在线反病毒引擎：VirusScan、VirusTotal（常用
2、获取HASH值
3、查找字符串
4、查壳
5、导入导出函数
6、获取资源信息
7、在线沙箱
| 留言与评论（共有 0 条评论） “” |
