逆向环境：物理机WIN10
涉及工具：7-zip、任务管理器（系统自带）、（x32dbg）
教程类型：攻防战
是否讲解思路和原理：是
以下为图文内容：
1.普通无壳程序（例如 易 C++ 等。不包含.net）我这里使用的是7-zip，可能需要一样，如果使用其他工具也能实现请回帖告知
先写一个demo程序
1-1.导入资源表

1-2.调用该资源（如果不调用依旧无法提取 并且程序体积不会包含该dll）

然后编译
1-3.使用7-zip打开

这里点击# 或者#:e都可以，但是#只会列出资源表内第一个dll。如果点击#:e则会列出所有

这里直接提取即可获取到dll

原理：当你把dll添加进引用资源表，并且编译后，由于该文件是一个动态链接库，包含了PE头格式，所以当你尝试使用zip格式打开时，则会出现资源表里面的文件（dll/exe）

----------我是一条分割线----------

1.解决方法（未加壳）
1-1.加密过程

1-2.点击按钮后输出了一个加密dll

1-3.注入时解密过程
先引用已加密的dll


1-4.使用7-zip打开，已经无法看见加密后的dll


原理：当你将该文件（dll）加密时，PE头已发生变化（已经变成非动态链接库），此时（7-zip）不会再显示该文件

虽然dll已经加密，但是依旧可以看到解密密码，能不能成功解密，只能看逆向者的毅力（需要慢慢找dll的大小，并且拷贝出来解密。但是如果大小不一样，解密结果也会跟正常的不一样。）——并不是说无法逆向，只是提高了逆向难度


----------我是一条分割线----------

2.加了VMP的（易-未加密DLL）（不含.net）

2-1.去掉加密过程，以免影响结果（添加’号进行注释）

2-2.将注入方式改回直接注入并编译

2-3.加上VMP3.5（保护全开）




2-4.打开该程序后，打开任务管理器（快捷键Ctrl+Shift+Esc，也可以通过右键任务栏（默认在底部）-任务管理器 打开）
右键该进程，点击“创建转储文件”

游客，如果您要查看本帖隐藏内容请回复

2022-01-01这里补上一个内存运行模块，方便大家研究：https://wwi.lanzouw.com/ibNQey7defi易语言的关键数据应该都在.rdata区段里，建议（dump后）直接在里面搜索本人不太会表达，如有疏漏，请多多包涵
请留下你的hb

教程用心 看得出来 支持

讲解原理便是精华！感谢你的作品，为大家带来知识！

简单xor +btc就够了，资源放加密的，进程中动态解密写出够了，虽然结局还是一样要写出文件，只要对文件做个加密通讯，比如rsa 4096往上 组合加密都可以

感谢分享看开隐藏

Shark恒 发表于 2021-12-29 23:44
讲解原理便是精华！感谢你的作品，为大家带来知识！

感谢恒大支持

狐白小刺客 发表于 2021-12-29 23:52
简单xor +btc就够了，资源放加密的，进程中动态解密写出够了，虽然结局还是一样要写出文件，只要对文件做个 ...

如果是内存注入的方式，可以直接在内存里面解密，不用写出文件，这样可以大大减少被dump的几率。但是远程线程注入貌似必须写出dll，较容易被提出
不过感谢大牛提点 我再学习学习

谢谢分享，受教了

来看看  谢谢分享

ST手怎么白了 发表于 2021-12-30 00:19
教程用心 看得出来 支持

感谢大牛支持