[發明專利]一種應用程序加殼的方法

在審

• 申請號: 202010528419.X
• 申請日: 2020-06-11
• 公開（公告）號: CN112347490A
• 公開（公告）日: 2021-02-09
• 發明（設計）人: 吳建亮;胡鵬;張振林
• 申請（專利權）人: 廣州錦行網絡科技有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/14
• 代理公司: 東莞市凱粵智華專利商標代理事務所(普通合伙) 44698
• 代理人: 羅麗

1.一種應用程序加殼的方法，其特征在于：先把可執行文件拷貝進內存，并拆分區段提取資源表，修改PE頭，把其它區段整合成一個區段放在一起然后加密，再添加三個區段A、B、C，后兩個用于存放加殼的代碼并修復它們的重定位表，第一個用于存放用于代碼檢查模塊；加密函數地址表，將它填入函數名稱的哈希值，將入口點指向C區段中的函數。

2.如權利要求1所述的一種應用程序加殼的方法，其特征在于：所述區段B和C的代碼均是從準備好的dll文件中的區段拷貝而來，區段B主要是用來解密和修復目標文件，區段C主要是用來解壓目標文件。

3.如權利要求1所述的一種應用程序加殼的方法，其特征在于：所述區段B的代碼流程主要分為以下幾步，每步運行時，解密下一步代碼：獲取關鍵函數；將區段B中關鍵的代碼計算成哈希值，用于解密目標區段，然后拆分區段，并把資源表和它們整合到一起，以達到恢復成原始原始的內存排布的樣子；按照目標文件的映射粒度來映射區段；解密導入表，加載導入表中的文件；加密函數地址表，將函數地址表指向一個新的結構；先是傳入模塊名稱的哈希值，再傳入函數名稱的哈希值，然后跳轉到函數地址計算函數；修復TLS；檢查入口點的一部分代碼，跳轉到入口點。

4.如權利要求1所述的一種應用程序加殼的方法，其特征在于：所述區段C的代碼主要流程是加載關鍵模塊，獲取所需要的函數；創建線程清除硬件斷點，關閉日志；解壓其它的區段；全代碼檢查；申請堆空間，存放解密后的B區段代碼，并修復區段B的重定位表；解密區段A，手動將它映射進內存，并在模塊鏈表中添加該模塊信息；進入解密后的區段B的起始函數。