[发明专利]一种基于加壳程序的辅助脱壳方法及装置

说明书

技术领域

本发明涉及计算机技术领域，尤指一种基于加壳程序的辅助脱壳方法及装置

背景技术

加壳是可执行程序资源压缩的简称，是保护文件的常用手段，其原理是利用特殊的算法，对可执行程序里的资源进行压缩、加密。加壳程序可以直接运行，但是不能查看原始程序，要经过脱壳才可以查看。脱壳的过程主要为三步：第一步，确定原始程序的入口点（Original Entry Point，OEP）；第二步，修复导入表和重定位表；第三步，将内存中的原始程序写入文件，更改程序的新入口地址为OEP，这一通常成为转储（Dump）。确定OEP、修复导入表和重定位表后，即可完成脱壳，得到原始程序，可见脱壳的关键就是确定OEP、修复导入表和重定位表。

随着现代加密技术的飞速发展，有些壳的保护强度极高，目前只能依靠人工分析来脱壳，研究人员从头到尾通过手工调试才能弄清壳的大体流程，进而定位OEP、导入表、重定位表的精确位置，通过人工分析脱壳的方式既浪费人力资源，效率还非常低，如果首先能对加壳程序进行辅助脱壳，大致定位出OEP、导入表、重定位表可能的位置范围，然后研究人员再对确定出的位置范围进行对手工调试，定位出OEP、导入表、重定位表的精确位置，则可以节省很多人力资源，并能提高效率。但是，目前没有对加壳程序进行辅助脱壳的方法。

发明内容

本发明实施例提供一种基于加壳程序的辅助脱壳方法及装置，用以实现对加壳程序进行辅助脱壳。

一种基于加壳程序的辅助脱壳方法，包括：

在对所述加壳程序执行脱壳操作前，获取运行所述加壳程序过程中产生的数据改写信息，每条数据改写信息包含至少两类子信息；选取数据改写信息中的至少两类子信息，根据所有数据改写信息中选取的至少两类子信息的数据构建第一辅助图形；和/或，

获取运行所述加壳程序过程中产生的代码流程信息，每条代码流程信息包含至少两类子信息；选取代码流程信息中的至少两类子信息，根据所有代码流程信息中选取的至少两类子信息的数据构建第二辅助图形；

根据所述第一辅助图形和/或所述第二辅助图形确定所述加壳程序对应的原始程序的重定位表和导入表的所在地址范围。

一种基于加壳程序的辅助脱壳装置，包括：

构建单元，用于在对所述加壳程序执行脱壳操作前，获取运行所述加壳程序过程中产生的数据改写信息，每条数据改写信息包含至少两类子信息；选取数据改写信息中的至少两类子信息，根据所有数据改写信息中选取的至少两类子信息的数据构建第一辅助图形；和/或，获取运行所述加壳程序过程中产生的代码流程信息，每条代码流程信息包含至少两类子信息；选取代码流程信息中的至少两类子信息，根据所有代码流程信息中选取的至少两类子信息的数据构建第二辅助图形；

确定单元，用于根据所述第一辅助图形和/或所述第二辅助图形确定所述加壳程序对应的原始程序的重定位表和导入表的所在地址范围。

本发明有益效果如下：

本发明实施例提供的基于加壳程序的辅助脱壳方法及装置方法及装置，通过在对所述加壳程序执行脱壳操作前，获取运行所述加壳程序过程中产生的数据改写信息，每条数据改写信息包含至少两类子信息；选取数据改写信息中的至少两类子信息，根据所有数据改写信息中选取的至少两类子信息的数据构建第一辅助图形；和/或，获取运行所述加壳程序过程中产生的代码流程信息，每条代码流程信息包含至少两类子信息；选取代码流程信息中的至少两类子信息，根据所有代码流程信息中选取的至少两类子信息的数据构建第二辅助图形；根据所述第一辅助图形和/或所述第二辅助图形确定所述加壳程序对应的原始程序的重定位表和导入表的所在地址范围。该方案可以首先获取运行加壳程序过程中产生的数据改写信息构建第一辅助图形，和/或获取运行加壳程序过程中产生的代码流程信息构建，然后根据第一辅助图形和/或第二辅助图形确定加壳程序对应的原始程序的重定位表和导入表的所在地址范围，然后后续可以进一步重定位表和导入表的精确地址，这相对于现有技术只能依靠技术人员从头到尾通过手工调试才能弄清壳的大体流程，进而定位导入表、重定位表的精确位置的方式，既节省人力资源，又能提高效率。

附图说明

图1为本发明实施例中第一种基于加壳程序的辅助脱壳方法的流程图；

图2为本发明实施例中第二种基于加壳程序的辅助脱壳方法的流程图；

图3为本发明实施例中第三种基于加壳程序的辅助脱壳方法的流程图；

图4为本发明实施例中第一种第一辅助图形的示意图；