识别打包的二进制文件

• 缺乏字符串：常见的情况是打包的二进制文件几乎没有任何字符串
• 很多 未使用的字符串：此外，当恶意软件使用某种商业打包工具时，常常会发现很多没有交叉引用的字符串。即使这些字符串存在，也并不意味着二进制文件没有被打包。
• 你还可以使用一些工具来尝试找出用于打包二进制文件的打包工具：
• PEiD
• Exeinfo PE
• Language 2000

基本建议

• 从底部开始分析打包的二进制文件在 IDA 中向上移动。解包器在解包代码退出时退出，因此解包器不太可能在开始时将执行传递给解包的代码。
• 搜索 JMP 或 CALL 到 寄存器 或 内存区域。还要搜索 推送参数和地址方向的函数，然后调用 retn，因为在这种情况下，函数的返回可能会调用在调用之前刚推送到堆栈的地址。
• 在 VirtualAlloc 上设置 断点，因为这会在内存中分配程序可以写入解包代码的空间。使用“运行到用户代码”或使用 F8 获取执行函数后 EAX 中的值，然后“跟踪转储中的地址”。你永远不知道这是否是解包代码将要保存的区域。
• VirtualAlloc 的值 "40" 作为参数意味着可读+可写+可执行（一些需要执行的代码将被复制到这里）。
• 在解包代码时，通常会发现 多个调用 到 算术操作 和像 memcopy 或 VirtualAlloc 这样的函数。如果你发现自己在一个显然只执行算术操作的函数中，可能还有一些 memcopy，建议尝试 找到函数的结束（可能是 JMP 或调用某个寄存器）或至少找到 最后一个函数的调用，然后运行到那里，因为代码并不有趣。
• 在解包代码时 注意 每当你 更改内存区域，因为内存区域的变化可能表示 解包代码的开始。你可以使用 Process Hacker 轻松转储内存区域（进程 --> 属性 --> 内存）。
• 在尝试解包代码时，知道你是否已经在处理解包代码的好方法（这样你可以直接转储它）是 检查二进制文件的字符串。如果在某个时刻你执行了跳转（可能更改了内存区域），并且你注意到 添加了更多字符串，那么你可以知道 你正在处理解包的代码。
  然而，如果打包工具已经包含了很多字符串，你可以查看包含“http”这个词的字符串数量，看看这个数字是否增加。
• 当你从内存区域转储可执行文件时，可以使用 PE-bear 修复一些头部。