吾爱破解培训第一课个人笔记

【个人笔记】

《吾爱破解培训第一课：破解基础知识之介绍常见工具和壳的特征》讲师：Hmily

0x00 前提

目的：认识、辨别普通的壳，不同的壳有不同的目的。

网站内资源准备好：吾爱破解虚拟机环境、脱壳例子下载、视频课程。

l是日志，e是模块信息，包含程序加载的完整模块和路径，m是内存和地址，t是线程，w是窗口，h是句柄信息，c是反汇编窗口，p记录管理员修改信息，k是调用的堆栈，b断点。

把exe文件拖入exeinfope中查看是哪种语言编译的，是否加壳。

全文仅供个人记录使用，如有疏漏敬请包容。

0x01 程序是什么语言编译的

从目前国内接触到程序看，比较流行的编译器有：VC系列、易语言、.NET、Delphi，一些曾经用的很多但渐渐少了有：VB、ASM、BC++，还有一些用的比较少的有：AutoIt、PB、QT等，下面提供一些由论坛同学编译出来的试炼品，结合实例来看看"入口点代码"、"程序区段"和"加载模块"等特征。

VC6编译无壳程序

查看入口点代码如下：

PEID查看区段如下：

VC6特点：入口点代码是固定的代码，入口调用的API也是相同的，其中有的push地址不同程序可能不同；区段有四个也是固定的.text、.rdata、.data和.rsrc。

VS2008和VS2013编译无壳程序
OllyDbg查看入口点代码如下：

PEID查看区段如下：

VS特点：入口点只有两行代码，一个CALL后直接JMP，第一个CALL进去后调用的API也是相同的；区段相对于VC6多了一个.reloc。

易语言编译无壳程序（独立编译和非独立编译）

（由于易语言独立编译是调用VC的链接程序编译的，所以从区段和入口代码特征和VC相同，下图为非独立编译带运行库）
OllyDbg查看入口点代码如下：

查看模块：

查看核心代码：

易语言特点：可以从程序里找一些call的调用最终都会走到上面核心代码图位置（文字不太好表达），这个方法可以区分和VC的区别，非独立编译比较容易识别，入口特征和模块特征都有krnln.fnr。