upx脫殼

既然找到OEP，那該怎麼把UPX脫掉？ 剛剛在執行步驟中可以很明顯看到，UPX會先做一個pushad 保護當前ESP資源不受破壞，接著做一系列的解壓縮資源到內存中， 解壓縮完畢後會再做一個popad把ESP做還原，然後jmp入C++ Builder的OEP

本文详细描述了如何在Windows系统中下载并使用Upx工具对文件进行脱壳，包括下载、解压、设置命令路径以及执行upx-d脱壳命令的过程。

UPX (Ultimate Packer for eXecutables) 是一种流行的运行时压缩壳，拥有多平台支持和较高的压缩率但保护强度较低等特点。 在逆向工程的题目中算是一个常见的考点。

查壳工具链接：https://www.52pojie.cn/thread-437586-1-1.html 脱壳工具链接：https://github.com/upx/upx/releases 在「cloud.tencent.com」查看更多資訊 一般做到逆向的部分题的时候，把文件丢进ida会发现函数特别少，大部分都是加壳了（以攻防世界新手区第7题为例链接：https://adworld.xctf.org.cn/task/task_list?type=reverse&number=4&grade=0） i

此处的jmp就是我们要找的入口点，跟踪jmp将转到oep，然后使用Scylla插件进行脱壳即可. 最后点击Fix Dump，选择我们刚才Dump下来的文件就可以了。 IAT： 导入地址表，windows下可执行文件中文件格式中的一个字段，描述的是导入信息函数地址，在文件中是一个RVA数组，在内存中是一个函数地址数组。 修复IAT:在脱壳后，不管是加密壳还是压缩壳，都有一个从内存dump到本地存储并保存为文件，而IAT在文件中是一个RVA数组，在内存中是一个函数地址数组，我们就需要将从内存dump出来的IA

可能不只這幾個方法，常用的脫殼方法共計大概7種左右，只是針對UPX的殼目前這幾種最好用，歡迎大家來探討 本文章原先以中文撰寫並發佈於 aliyun.com，亦設英文版本，僅作資訊用途。

本文介绍了如何使用UPX脱壳工具对加壳程序进行逆向分析。 首先通过IDA Pro和ExeinfoPe检测程序是否加壳，然后下载并安装UPX工具，使用命令行进行脱壳操作。