由于工作原因，时间比较少上论坛来泡泡了。最近由于某些原因时间变得稍微宽裕了些，有空整理整理这几年的一些资料和文档。
感觉这个方向论坛上讨论得并不多，是这个方向没有什么使用价值呢，还是说太简单了大家都不愿意研究？总而言之，我个人感觉这个方向还是一个挺有趣的，所以发上来共享一下。
这篇文章涉及的东西，虽然不是很难，但可能并不适合于新手。尽管我已经尽力去解释一些东西，但由于水平有限难免会存在一些错误。还请各位大侠不吝赐教啊！
下面是doc和代码的打包下载
前言
开始切入正题前，让我先解释一下这篇文章的结构。
一个很平凡的题目（命名的确是很头疼的问题，以此命名的原因是希望能在搜索引擎提高命中率：D），但却不好回答。
我在07年底遇到了到这样的需求：设计一个函数判定PE文件是否加壳，加了什么壳。这个需求的必要性不言自明。
当我拿到需求并且与需求方确认后将需求分解为以下2个层次：
1.初级需求是函数的返回值是BOOL型，返回True或者False表示是否加壳。
2.高级需求是函数的返回值必须能返回表示壳的种类，返回壳ID或者壳名称。
关于手动脱壳的分析员来说判断一个PE文件是否加壳方法太多，而且通常非常容易。但是如果将这些方法一一列举出来后，我发现用程序来模拟这些人工的动作有3个问题：
1.大部分方法，实现起来比较复杂。
2.有些方法误判率非常高。
3.大部分方法，判定的壳种类非常有限。
所以本文的正文部分结构上分成二个部分，分别尝试去回答上面的两个问题。第一章解决第1个小问题，其中又分成两个小节使用两种技术来分别实现；第二章解决第2个小问题。希望你能按照顺序阅读全文。
在开始旅行前，有一些共识需要强调一下。Pack 的英文直译过来应该是“被压缩”的意思。而中文里“壳”的意思更多的是强调“被保护”（“壳”的历史不是这篇文章的重点）这里要说明的是，尽管按照中文的习惯，我更多的使用“加壳”这个词语，但本文试图解决的问题 -- 检测一个PE文件是否“被压缩”，而不是是否“被保护”。例如：一些自解压的WinRar程序也会被判定为加壳。
第一章、你加壳了吗？
第1节、信息熵(Entropy)
第2节、节表的秘密
在小喂的帖子中提到了猜测Process Explorer对文件的判定也使用的是Entropy的方法，其实不然。这一章就是要揭开Process Explorer对文件加壳判定的秘密。
先来看看Process Explorer在对加壳与否界面上的展示。
Process Explorer默认用紫色高亮显示被加壳的镜像，从图中我们知道Totalcmd被判定是Packed Images。
Sysinternal自从"弃明投暗"纳入微软帐下后：D，源代码就不再公开。无奈之下还是只能选择逆向Process Explorer（版本号 v11.12）这条路。其实逆向完Process Explorer后，我发现远没有想象中的复杂。下面将一些逆向的过程展示出来。
1.判定的函数这里开始，CreateFile打开要判定的文件。
2.校验一下PE文件头，然后判定是win32还是win64
3.下面进入了核心算法，一共有10条规则进行判定镜像是否加壳
4.主循环结束，通过一个标志位决定了是否上色：）
我原来打算总结一下这10条规则，但是这次我决定偷懒了。还是让代码说明一切吧！
在下载这个文档的同时，你应该能下载我的测试代码（procexp_judge_pack.cpp），代码中没有实现对win64的PE文件的判定，又偷懒了:D。
BOOL _IsPack_32(PBYTE pBuf, UINT uSize)
{
BOOL bRet = FALSE;
PIMAGE_DOS_HEADER pDosHdr = NULL;
PIMAGE_NT_HEADERS pNTHdr = NULL;
PIMAGE_FILE_HEADER pFileHdr = NULL;
PIMAGE_SECTION_HEADER pSecHdr = NULL;
UINT i = 0;
pDosHdr = (PIMAGE_DOS_HEADER)pBuf;
pNTHdr = (PIMAGE_NT_HEADERS)((PBYTE)pDosHdr + pDosHdr->e_lfanew);
pFileHdr = &pNTHdr->FileHeader;
pSecHdr = (PIMAGE_SECTION_HEADER)((PBYTE)pNTHdr + sizeof(IMAGE_NT_HEADERS32));
for(i = 0; i < pFileHdr->NumberOfSections; i++)
{
if (IsBadReadPtr(pSecHdr, sizeof(IMAGE_SECTION_HEADER)))
break;
// Rule1
if (pSecHdr[i].Characteristics & IMAGE_SCN_CNT_CODE && 0x1000 < pSecHdr[i].Misc.VirtualSize && pSecHdr[i].SizeOfRawData <= pSecHdr[i].Misc.VirtualSize - 0x1000)
goto Exit1;
// Rule2
if (!memcmp(pSecHdr[i].Name, szSecNameText, sizeof(szSecNameText)) && 0x1000 < pSecHdr[i].Misc.VirtualSize && pSecHdr[i].SizeOfRawData < pSecHdr[i].Misc.VirtualSize - 0x1000)
goto Exit1;
// Rule3
if (0 == *pSecHdr[i].Name && pSecHdr[i].SizeOfRawData < pSecHdr[i].Misc.VirtualSize)
goto Exit1;
// Rule4
if (0 != pSecHdr[i].SizeOfRawData)
continue;
// Rule5
if (0x1000 > pSecHdr[i].Misc.VirtualSize)
continue;
// Rule6
if (!memcmp(pSecHdr[i].Name, szSecNameTextBSS, sizeof(szSecNameTextBSS)))
continue;
// Rule7
if (!memcmp(pSecHdr[i].Name, szSecNameTLS, sizeof(szSecNameTLS)))
continue;
// Rule8
if (!memcmp(pSecHdr[i].Name, szSecNameBSS, sizeof(szSecNameBSS)))
continue;
// Rule9
if (!memcmp(pSecHdr[i].Name, szSecNameData, sizeof(szSecNameData)))
continue;
// Rule10
if (pSecHdr[i].Characteristics & (IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_CNT_UNINITIALIZED_DATA))
goto Exit1;
}
goto Exit0;
Exit1:
bRet = TRUE;
Exit0:
return bRet;
}
第二章、你加了什么壳
这章本不应该放在最后，因为我所采用的方法是绝大多数人都会想到的方法。的确，对于确定壳的种类没有比特征码更简单明了的方法了。
PEiD中对于壳特征开放了userdb.txt，广大分析员将自己辛勤的劳动成果共享于网络。要用代码去实现壳的分类，你需要做的就是：
1.甄选这些特征。
2.修改一个字符匹配算法（支持通配符）。
ps.值得一提的是PEiD自己还维护了一个内部特征，我们不得而知:(
这就够了吗？
用人工维护特征这种方法，向来就具备以下几个弱点：
1.滞后性
特征只能针对已知的壳，那些最新的壳，你需要时间去发现和收集
2.局限性
你不可能提取出所有壳的特征，判定程序只能无奈的返回Unknown
3.误判
人永远无法保证100%的正确
我曾经试图想解决三个问题，可是目前还没有更好的解决方案。即便如此让机器代理人来提取特征仍然是有可能的。设计一个类似神经网络的系统，让壳样本不断的去训练你的特征。当所有的流程无需人工参与的时候，虽然滞后性无法避免但可以缩短时间；虽然局限性无法根除，但可以降低比率；误判无法保证100%，那就保证99.999999%。
好吧，我承认。这一章我有点扯...你们还是无视吧！