[发明专利]软件保护壳的壳特征提取方法

权利要求书

1.一种软件保护壳的壳特征提取方法，包括：

步骤1.初始化处理：将有壳保护的软件录入系统内存，并对壳类型、壳版本命名并记录，待用；

步骤2.断点位置参数的提取：对步骤1录入的有壳保护的软件找出所有系统调用；对每种系统调用，分别进行初步判断是壳初始化时所用、还是壳处理输入表时所用；并对壳初始化时所用系统调用作丢弃处理，而对壳处理输入表时所用系统调用、则再通过反复比对调试，以最终确认壳处理输入表时所用的系统调用，然后将经确认的各系统调用在调用前的位置作为壳特征中的断点位置参数记录后、供步骤5用；当对所有系统调用处理完后转步骤4；

步骤3.入口点参数的预提取：对步骤1录入的有壳保护的软件的原始入口点参数进行预提取、以获得入口点的初选参数；入口点初选参数是采用入口点参数分析方法从有壳保护的软件中获取，取得入口点初选参数后、转步骤4；

步骤4.输入表数据的获得及原始入口点参数的验证：对从步骤2得到的所有断点位置参数进行调试，通过断点回调函数获得输入表中所有参数并记录；同时使用输入表中所有参数和从步骤3得到的入口点初选参数，通过内存转储和PE结构修复，并确认入口点初选参数是否为原始入口点参数；确认的过程为：如果修复后的软件能够正常运行、则入口点初选参数的确为原始入口点数据，然后转步骤5；如果不能正常运行、则丢弃，并返回步骤3重新对原始入口点参数进行预提取；

步骤5.壳特征输出：将步骤2获得并记录的断点位置参数，以及步骤4获得的原始入口点参数，连同经步骤1命名的壳类型及壳版本名称一并作为本发明方法所得壳特征参数输出。

2.按权利要求1所述软件保护壳的壳特征提取方法，其特征在于所述入口点参数分析方法为采用跨段指令、堆栈平衡原理、编译语言特点以及内存断点法中的一种或几种方法综合进行。

3.按权利要求1所述软件保护壳的壳特征提取方法，其特征在于所述壳特征参数包括：壳名称、壳版本及其原始入口点参数和断点位置参数。