2021-10-04发表2021-10-04更新3 分钟读完 (大约397个字) 次访问

UPX 壳反解压技术

TSGCTF optimized 中用到的 UPX 壳的反解压

判断是否加壳

不标准的段名，静态链接
找不到输出字符串
entry point 在其他地方

一些通过 upx 压缩的文件可能不会被识别为 upx 压缩过的，基本上是通过更改文件头中的一些数据实现的（可根据 upx -d 的报错判断）

upx 文件头结构

struct b_info // 12-byte header before each compressed block
{ 

uint32_t sz_unc; // uncompressed_size
uint32_t sz_cpr; // compressed_size
unsigned char b_method; // compression algorithm
unsigned char b_ftid; // filter id
unsigned char b_cto8; // filter parameter
unsigned char b_unused; // unused

}; 

struct l_info // 12-byte trailer in header for loader (offset 116)
{ 

uint32_t l_checksum; // checksum
uint32_t l_magic; // UPX! magic [55 50 58 21]
uint16_t l_lsize; // loader size
uint8_t l_version; // version info
uint8_t l_format; // UPX format 

}; 

struct p_info // 12-byte packed program header follows stub loader
{ 

uint32_t p_progid; // program header id [00 00 00 00]
uint32_t p_filesize; // filesize [same as blocksize]
uint32_t p_blocksize; // blocksize [same as filesize] 

};