脱壳常用分析手法
- 首先从节表开始分析，一般压缩壳会有占位的节，文件映射一般为0，或者文件占位和内存占位相差比较大。
- 想要找到并分析解压缩算法，可以在写入数据的节区内下内存写入断点，会定位到解压代码。
IAT混淆
- IAT混淆其实是通过在IAT中填入我们设置好的地址，然后jmp或者call指令跳到真正api地址，增大反调试调试的成本。
IAT混淆步骤：
- 获得api地址
- 随机一个混淆方案
- 写入IAT
- 基于以上步骤，如果我们想给IAT混淆过的PE文件打补丁，思路就是在步骤1之后直接跳到步骤3，略过选择混淆方案。
IAT混淆补丁
- 程序打开，暂停到主模块
- 找一个间接call，这里十有八九是call到IAT表的
- 在IAT表下内存写入断点，知道断到往这块内存中写入地址的代码，那就是步骤3了，记下代码地址。
- 接着F7单步跳，注意eax里的地址，当与当前模块跨度较大的时候，就要留意是不是系统api地址，找到获取api地址的汇编代码，记录下地址，这里是步骤1
- 桥接，在步骤1记下的地址下改写一个jmp，跳到步骤3的地址，注意，如果栈没有平，需要我们手动平以下。
利用堆释放标志反调试
- HeapCreate
- HeapAlloc
- HeapFree
- HeapDestory
以上函数是在Virtual系列的函数基础上封装的，用于分配内存块。
只要是程序在被调试，不管是deug版还是release版，free之后里面的标志都会是FE，基于这个理论，可以写出以下程序
图片.png
Debug下运行
图片.png
直接运行
图片.png
识别应用程序的入口
- 程序入口分为“应用程序入口”和“语法规定的用户入口”，要识别main函数，首先要找到main函数的特征，也就是和别的函数不一样的地方，那就是参数有3个。带着这样的条件，在od或ida里寻找main函数也比较简单
图片.png
算术运算
优化术语：
常量折叠：当计算公式中出现多个常量进行计算的情况时，且编译器可以再编译期间计算出结果时，这样源码中所有常量计算都将被计算结果代替
常量传播：将编译期间可以计算出来结果的变量转换成常量，且满足条件变量在写入读取使用的这段时间内没有对它做参数传递（传地址）和其他写入操作。
加法
图片.png
- debug:
-
const + const
会产生常量折叠
图片.png
-
const + var
- var给寄存器，寄存器加常量
图片.png -
var + var
- 一个var从内存给寄存器，寄存器和另一个var所在内存相加
图片.png
- Release:窥孔优化：先只做一部分的优化，并多次对小段代码进行优化，类似代码混淆的逆过程
图片.png
减法
和加法基本一样，注意有的编译器会对加负数（例如：-n）转换成加上n的补码
乘法
- *2的幂
- 优化为移位运算
- *非2的幂
- debug版编译器会直接先拆分，再进行运算
- var*var
* 优化不了，直接imul或mul
