加壳与脱壳应用及实现
基于流的加壳与脱壳技术实现
Ｆ Ｉ ｎ — ｅｊ Ｙｏ ｇ ｓｅ ｇ Ｈｕ ａ Ｅ ｇ ｄ ，ｕ ｎ —ｈｎ ， Ｍｉ Ｔｏ （ ｎ ｆ ｇＣｏ Ｄｏ ｇ ｎ ｍｍｅｃ ｌ ｈｃ ｅｈ ｉ ｌ ｎｅ ｏ Ｌ Ｓｉａ ４ ０ １ Ｃｈｎ） ｅ ｒｉ ｉｅＴ ｃ ｎｃ ｔ ｆ ａＶｅ ｌ ａ Ｃｅ ｒ ＤＦ ， ｈ ｎ４ ２０ ， ｉａ ｙ
之后 ， 附加 代 码 首 先 执 行 ， 查 密 码 是 否 正 确 ， 果 正 确 则 转 入 原 来 的 程 序 中执 行 。否 则 ， 检 如 则退 出程 序 。
的 基 类 ， 能 直 接 生 成 对 象 。在 具 体 的 应 用 中， 要 使 用 它 的 子 孙 类 ：ＦｌＳｒ ｍ 文件 流；Ｓｒ ｇ ｔ ａ ： 符 串流 ；Ｍｅ ｏｙｔ ａ 内 不 主 Ｔ ｉ ｔａ ｅ ｅ Ｔ ｔｎＳｒ ｍ 字 ｉ ｅ Ｔ ｍ ｒＳ ｅｍ ｒ 存 流 ；Ｒ ｓｕｃＳｒａ 资源 文件 流等 。本 文 就 是 利 用 内存 流 对 应 用 程 序 进 行 加 壳脱 壳 的 。Ｔ ｍ ｒＳｒａ 类 的 有 关方 法 主要 有 ： Ｔ ｅｏ ｒｅｔ ｍ ｅ Ｍｅ ｏｙｔ ｍ ｅ Ｒ ａ 法 实 现 将 数 据 从 内存 流 中读 出 ； ｉｅ 法 实 现 将 数 据 写 入 内存 流 中 ；ｅｋ方 法 从 内 存 流 中读 取 指 针 的移 动 ； ｏｙ ｒｍ ｅｄ方 Ｗｒ 方 ｔ Ｓｅ Ｃ ｐＦｏ
软 件 加 密 技 术 是 软 件 保 护 的 重 要 手 段 。这 些 加 密 措 施 给 非 法 拷 贝 或非 法 使 用 造 成 一 定 的 障 碍 。 某 种 程 度 上 增 加 了 破解 难 度 。 在 因现 在 互 联 网 的普 及 ， 种 破 解 软 件 可 以从 网上 轻 易 下 载 ， 增 加 破 解 难 度 ， 写 自己 的加 密程 序是 很 有 必要 的 。 现 在 加 密 程 序 的 各 为 编 重 要 手 段 之 一 就 是 对 程 序 加 壳 。 果 加 壳 程 序 使 用 压 缩 算 法 还 可 以 减少 程序 的体 积 。 止 破解 的人 非 法 修 改 程 序 。 文 介 绍 一 种 利 如 防 本 用 流 技 术 的加 壳 脱 壳 方 法 来 实 现 对 软 件 的 加 密 保 护 。
脱壳笔记——精选推荐
【脱壳一般流程】查壳(PEID、FI、PE-SCAN)--->寻找OEP(OD)--->脱壳/Dump(LordPE、PeDumper、OD自带的脱壳插件、PETools)--->修复(Import REConstructor)【工具介绍】1、查壳PEID--功能强大的侦壳工具，自带脱壳插件（但是，效果不怎么样）工作原理：核心是userdb.txt（大家看看就完全明白了）[通过壳的入口特征码进行辨认]使用方法：可以拖放、也可以把PEID添加到右键菜单里面去FI--功能强大的侦壳工具，DOS界面。
使用方法：可以拖放、可以使用DO S命令行2、寻找OEPollydbg的四个区域左上角是cpu窗口,分别是地址,机器码,汇编代码,注释;注释添加方便,而且还能即时显示函数的调用结果,返回值.右上角是寄存器窗口,但不仅仅反映寄存器的状况,还有好多东东;双击即可改变Ef lag的值,对于寄存器,指令执行后发生改变的寄存器会用红色突出显示.cpu窗口下面还有一个小窗口,显示当前操作改变的寄存器状态.左下角是内存窗口.可以ascii或者unicode两种方式显示内存信息.右下角的是当前堆栈情况,还有注释啊.几个经常使用的快捷键F2：在需要的地方下断点（INT3型断点）F3：选择打开程序F4：运行到所选择的那一行F7：单步进入F8：单步跟踪F9：执行程序（运行程序）其中要特别讲一下3个F9的区别和作用：根据Ollydbg.hlp的中文翻译Shif t+F9 -与F9相同，但是如果被调试程序发生异常而中止，调试器会首先尝试执行被调试程序指定的异常处理（请参考忽略Kernel32中的内存非法访问）。
Ctrl+F9 - 执行直到返回，跟踪程序直到遇到返回，在此期间不进入子函数也不更新CPU数据。
因为程序是一条一条命令执行的，所以速度可能会慢一些。
按Esc键，可以停止跟踪。
Alt+F9 - 执行直到返回到用户代码段，跟踪程序直到指令所属于的模块不在系统目录中，在此期间不进入子函数也不更新CPU 数据。
如何将EXE安装文件脱壳和破解
如何将EXE安装文件脱壳和破解--之解决办法步骤1 检测壳壳的概念：所谓“壳”就是专门压缩的工具。
这里的压缩并不是我们平时使用的RAR、ZIP 这些工具的压缩，壳的压缩指的是针对exe、com、和dll等程序文件进行压缩，在程序中加入一段如同保护层的代码，使原程序文件代码失去本来面目，从而保护程序不被非法修改和反编译，这段如同保护层的代码，与自然界动植物的壳在功能上有很多相似的地方，所以我们就形象地称之为程序的壳。
壳的作用： 1.保护程序不被非法修改和反编译。
2.对程序专门进行压缩，以减小文件大小，方便传播和储存。
壳和压缩软件的压缩的区别是压缩软件只能够压缩程序而经过壳压缩后的exe、com和dll等程序文件可以跟正常的程序一样运行下面来介绍一个检测壳的软件 PEID v0.92 这个软件可以检测出 450种壳新版中增加病毒扫描功能，是目前各类查壳工具中，性能最强的。
另外还可识别出EXE文件是用什么语言编写的VC++、Delphi、VB或Delphi等。
支持文件夹批量扫描我们用PEID对easymail.exe 进行扫描找到壳的类型了 UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo 说明是UPX的壳下面进行步骤2 脱壳对一个加了壳的程序，去除其中无关的干扰信息和保护限制，把他的壳脱去，解除伪装，还原软件本来的面目。
这个过程就叫做脱壳。
脱壳成功的标志脱壳后的文件正常运行，功能没有损耗。
还有一般脱壳后的文件长度都会大于原文件的长度。
即使同一个文件，采用不同的脱壳软件进行脱壳，由于脱壳软件的机理不通，脱出来的文件大小也不尽相同。
关于脱壳有手动脱壳和自动脱壳自动脱壳就是用专门的脱壳机脱很简单按几下就 OK了手动脱壳相对自动脱壳需要的技术含量微高这里不多说了 UPX是一种很老而且强大的壳不过它的脱壳机随处就能找到 UPX本身程序就可以通过 UPX 文件名－d 来解压缩不过这些需要的命令符中输入优点方便快捷缺点DOS界面为了让大家省去麻烦的操作就产生了一种叫 UPX SHELL的外壳软件 UPX SHELL v3.09 UPX 外壳程序！目的让UPX的脱壳加壳傻瓜化注：如果程序没有加壳那么我们就可以省去第二步的脱壳了，直接对软件进行分析了。
软件加壳技术及实现
软件加壳技术及实现软件加壳是一种常见的软件保护技术，通过将原始的可执行文件进行加密和封装，增加软件的安全性和难度，提高软件的抵抗逆向工程、防止破解的能力。
下面将介绍软件加壳技术的原理及实现方法。
1.软件加壳原理软件加壳的基本原理是将原始可执行文件进行加密处理，生成一个加密后的壳程序，再将原始可执行文件嵌入到壳程序中，并根据可执行文件的特征信息进行相应的处理和解密，最终执行原始程序。
具体的加壳流程如下：（1）加密原始可执行文件：使用对称加密算法（如AES、DES等）对原始可执行文件进行加密处理，使其不可读。
（2）生成壳程序：编写一个壳程序，包括解密原始可执行文件、加载和执行原始程序等功能。
壳程序本身一般是已经加密的，以防止被分析破解。
（3）将原始可执行文件嵌入到壳程序中：将加密后的原始可执行文件隐藏在壳程序中，一般是作为一个资源或数据块存在。
（4）运行壳程序：用户双击运行壳程序，壳程序首先进行解密处理，获取原始可执行文件，然后进行加载和执行。
2.软件加壳实现方法（1）静态加壳：在编译链接阶段对可执行文件进行加壳处理。
静态加壳可以通过修改可执行文件的文件头信息和重定位表等方式实现。
（2）动态加壳：在运行时对可执行文件进行加壳处理。
动态加壳使用的是运行时加载原始程序的方式，可以提高软件的安全性，但也会增加运行的开销。
3.加壳脱壳工具目前市面上有很多成熟的加壳脱壳工具可供使用，如UPX、ASPack、FSG等。
这些工具可以方便地对可执行文件进行加壳和脱壳操作，但也容易被黑客用来破解软件。
总结：软件加壳技术是一种常用的软件保护手段，通过加密和封装原始可执行文件，增加软件的安全性和防破解能力。
加壳脱壳工具能够方便地实现对可执行文件的加壳和脱壳操作，但需要注意合理的加密算法和技术选型，以提高软件的安全性。
通达信主程序脱壳全记录(图文)
通达信主程序脱壳全记录（图文）UPX加壳入口第一句是PUSHAD；出口关键字POPAD；手动脱壳时，用Olldbg载入程序，脱壳程序里面会有好多循环。
对付循环时，只能让程序往前运行，基本不能让它往回跳，要想法跳出循环圈。
第一步，先侦壳，侦壳工具为peid0.92,侦测结果如下：（图000）（图000）原来是UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo加的壳，UPX是一种压缩壳，强度很低。
第二步，我们请出调试利器：Ollydbg1.09,载入程序，出现提示：用F8进行单步跟踪，对付循环时，只能让程序往前运行，基本不能让它往回跳，要想法跳出循环圈那就是设置“断点”。
见上图（图004 005 006 007）下走。
（后面碰到类似的情况，处理方法一样。
）一直往下找，直到发现“POPAD”时，在其地址处设置“断点”―――“运行到选定位置F4”，然后继续F8往下走。
（图008 009）下走。
在走几行，就会出现上图画面，“00622838A”55 DB55 CHAR‘U’―――这是通达信主程序代码的真点击右键调出菜单，选择“用OllyDump脱壳调试进程”。
（图012）＝＝＝＝＝＝＝＝＝下图为重新载入已脱壳的新文件（图015）＝＝＝＝＝＝＝＝＝＝用“PEID”检测，提示已无壳。
（图016），但该文件还不能正常启动，因为“输入表”尚未修复。
第三步，就是修复程序的输入表。
使用importREC，这是最好用的输入表修复工具。
1、运行加壳的原版TDX主程序，启动importREC程序，（图018）在“附加一个活动进程”中选择“D:\通达信分析家l论坛版本\TDX.EXE”。
2、在“所需的IAT信息”中的“OEP”填入“0022838A”，点击“自动搜索”按钮，出现下图提示：（图019）3、点击“获取输入表”按钮：（图020）4、点击“修复转存文件”按钮，选择前面已完成脱壳的新文件，程序会自动生成一个新的“******_。
c++ 加壳原理
c++ 加壳原理
加壳原理是指在应用程序运行之前，把应用程序的代码内核打包装入一个程序，从而形成一个包含内核的壳程序，在运行壳程序的时候，壳程序完成这样一系列的工作：解压出内核，校验合法性，提供程序运行环境以及防护等等，也就是说运行加壳程序实际上是运行加壳后的程序，而不是加壳前的程序。
使用 C++ 语言实现加壳原理，需要考虑以下几个步骤：
1、把目标程序的二进制可执行代码压缩到一个文件中。
2、在加壳程序中实现解压缩，把压缩的文件保存到加壳程序的内存中。
3、实现程序的校验，确保程序内容完整。
4、实现程序的加载，以及提供程序运行环境等等。
5、实现程序的防护，避免程序被破解。
C++ 语言实现加壳原理的函数步骤如下：
int main()
{
// 1.加载壳
char *pFileData = LoadShell();
// 2.解压壳
UnzipShell(pFileData);
// 3.校验文件
bool bIsValid = VerifyShell(pFileData);
// 4.提供程序运行环境
PrepareRunEnvironment();
// 5.运行程序
RunShell(pFileData);
// 6.防护程序
ProtectShell(pFileData);
return 0;
}
以上是 C++ 语言实现加壳原理的大致步骤，需要根据实际的需要，完善的实现加壳的每个环节。
软件加壳脱壳技术教程
一.壳的概念
作者编好软件后,编译成exe可执行文件
1.有一些版权信息需要保护起来,不想让别人
随便改动,如作者的姓名等
2.需要把程序搞的小一点,从而方便使用
于是,需要用到一些软件,他们能将exe可执行文件压缩,
实现上述两个功能,这些软件称为加壳软件或压缩软件.
它不同于一般的winzip,winrar等压缩软件.
好，我们先从一个基本的Upx壳入手。
本地下载
首先必须的工具要准备好，
查壳工具
Peid0.91,Fileinfo,Language2000,File Scanner等。
查入口工具。
Peid0.91首推，冲击波(9X)系统专用，Asloader,自己的感觉，程序跨段跳跃点。
脱壳工具。
Ollydbg首选，LoadPe,PEditor,ProcDump等，够用了。
傻瓜式软件,运行后选取待侦测壳的软件即可(open)
脱壳教程2：手动脱壳入门第一篇
【使用工具】Ollydbg1.10b,ImportREC1.6F
【破解平台】Win2000/XP
前言,作者写这篇文章只是举个例子,希望读者能够举一反三,看清思路.
本论坛中破解高手很多，不会手动脱壳者人数仍然不少。有人会说，我有Unaspack,Caspr,ProcDump等众多脱壳工具，不会手动脱壳用工具脱就可以了。但有部分壳如Asprotect1.23Rc4,本论坛高手仙剑（将自己加密壳伪装成C++),有漏洞，用Peid查壳，Ep区段写有Xj,用Od载入提示有壳,更有甚一些软件如大嘴日语加了四层壳,这些都是工具无法脱壳的。随着加密壳的不断出现，基本壳都不会，高版本的加密壳以后脱壳盲根本无从入手。所以，手动脱壳Crack必修。
加壳 脱壳代码
加壳和脱壳通常是在软件工程中使用的术语，它们涉及到对二进制代码进行加密和解密。
加壳：这是将代码进行加密的过程。
当代码被加壳时，它变得难以阅读和理解。
这可以防止未经授权的人查看或修改代码。
加壳后的代码通常会以一种特殊的方式执行，这使得原始代码在运行时才能被解密并执行。
脱壳：这是将加壳的代码进行解密的过程。
当你想查看或修改加壳的代码时，你需要进行脱壳。
脱壳后的代码通常是原始代码，可以被阅读和理解。
以下是一个简单的Python加壳和脱壳的示例：加壳：```pythondef obfuscate_code(code):encrypted_code = ""for char in code:encrypted_code += chr(ord(char) ^ 42) # XOR with 42 to encrypt the codereturn encrypted_codeoriginal_code = "print('Hello, World!')"encrypted_code = obfuscate_code(original_code)exec(encrypted_code) # This will run the encryptedcode```脱壳：```pythondef deobfuscate_code(encrypted_code):decrypted_code = ""for char in encrypted_code:decrypted_code += chr(ord(char) ^ 42) # XOR with 42 to decrypt the codereturn decrypted_codeencrypted_code = "print('Hello, World!')" # This is the encrypted code from the previous exampledecrypted_code = deobfuscate_code(encrypted_code)exec(decrypted_code) # This will run the decrypted code, which will print "Hello, World!"```请注意，这只是一个简单的示例，实际的加壳和脱壳技术要复杂得多，并且可以包括更高级的加密和混淆技术。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
加壳与脱壳的应用与实现一、加壳 (2)1.什么是壳 (2)2.加壳原因 (2)3.壳的加载过程 (3)4.压缩引擎 (5)5.常见的加壳工具 (6)a.常用压缩壳介绍 (6)b.加密保护壳介绍 (7)二、脱壳 (10)1.侦壳 (10)2.脱壳 (13)a.查找程序的真正入口点（OEP） (13)b.抓取内存映像文件 (15)c.输入表重建 (15)附：视频“加壳与脱壳（软件）”和“手动脱壳” (17)加壳与脱壳一、加壳1.什么是壳在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。
它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。
由于这段程序和自然界的壳在功能上有很多相同的地方，基于命名的规则，就把这样的程序称为“壳”了。
图1.12.加壳原因就把这样的程序称为“壳”了。
作者编好软件后，编译成exe可执行文件。
1）有一些版权信息需要保护起来，不想让别人随便改动，如作者的姓名，即为了保护软件不被破解，通常都是采用加壳来进行保护。
2）需要把程序搞的小一点，从而方便使用。
于是，需要用到一些软件，它们能将exe可执行文件压缩。
3）在黑客界给木马等软件加壳脱壳以躲避杀毒软件。
实现上述功能，这些软件称为加壳软件。
3.壳的加载过程1）获取壳自己所需要使用的API地址如果用PE编辑工具查看加壳后的文件，会发现未加壳的文件和加壳后的文件的输入表不一样，加壳后的输入表一般所引入的DLL和API函数很少，甚至只有Kernel32.dll以及GetProcAddress这个API 函数。
壳实际上还需要其他的API函数来完成它的工作，为了隐藏这些API，它一般只在壳的代码中用显式链接方式动态加载这些API函数2）解密原程序的各个区块(Section)的数据壳出于保护原程序代码和数据的目的，一般都会加密原程序文件的各个区块。
在程序执行时外壳将会对这些区块数据解密，以让程序能正常运行。
壳一般按区块加密的，那么在解密时也按区块解密，并且把解密的区块数据按照区块的定义放在合适的内存位置。
如果加壳时用到了压缩技术，那么在解密之前还有一道工序，当然是解压缩。
这也是一些壳的特色之一，比如说原来的程序文件未加壳时1～2M大小，加壳后反而只有几百K。
3）重定位文件执行时将被映像到指定内存地址中，这个初始内存地址称为基地址（ImageBase）。
当然这只是程序文件中声明的，程序运行时能够保证系统一定满足其要求吗？对于EXE的程序文件来说，Windows系统会尽量满足。
例如某EXE 文件的基地址为0x400000，而运行时Windows系统提供给程序的基地址也同样是0x400000。
在这种情况下就不需要进行地址“重定位”了。
由于不需要对EXE文件进行“重定位”，所以加壳软件把原程序文件中用于保存重定位信息的区块干脆也删除了，这样使得加壳后的文件更加小巧。
有些工具提供“Wipe Reloc”的功能，其实就是这个作用。
不过对于DLL的动态链接库文件来说，Windows系统没有办法保证每一次DLL运行时提供相同的基地址。
这样“重定位”就很重要了，此时壳中也需要提供进行“重定位”的代码，否则原程序中的代码是无法正常运行起来的。
从这点来说，加壳的DLL比加壳的EXE更难修正。
4）HOOK-APIWindows API是一套用来控制Windows的各个部件的外观和行为的一套预先定义的Windows函数。
程序文件中的输入表的作用是让Windows系统在程序运行时提供API的实际地址给程序使用。
在程序的第一行代码执行之前，Windows 系统就完成了这个工作。
壳一般都修改了原程序文件的输入表，然后自己模仿Windows系统的工作来填充输入表中相关的数据。
在填充过程中，外壳就可填充HOOK-API的代码的地址，这样就可间接地获得程序的控制权。
5）跳转到程序原入口点（OEP）从这个时候起壳就把控制权交还给原程序了，一般的壳在这里会有明显的一个“分界线”。
但现在的猛壳己没这界限了，壳里有肉，肉里有壳。
4.压缩引擎各类加壳软件，其压缩算法一般不是自己实现的，大多是调用其他的压缩引擎。
目前压缩引擎种类比较多，不同的压缩引擎有不同特点，如一些对图像压缩效果好，一些对数据压缩效果好。
而加壳软件选择压缩引擎有一个特点，在保证压缩比的条件下，压缩速度慢些关系不是太大，但解压速度一定要快，这样加了壳的EXE文件运行起来速度才不会受太大的影响。
例如下面几个压缩引擎就能满足这要求：1). aPLib压缩引擎 /，这个库对于低于64K的文件压缩效果较好，速度较快。
2). JCALG1压缩引擎，相对于aPlib，JCALG1对于大文件效果好些。
3). LZMA压缩引擎 /zh-cn/sdk.html，LZMA 是 7-Zip 程序中 7z 格式的默认压缩算法，压缩率很高。
5.常见的加壳工具加壳软件按照其加壳目的和作用，可分为两类：一是压缩（Packers），二是保护（Protectors）。
压缩这类壳主要目的是减小程序体积，如ASPacK、UPX和PECompact等。
另一类是保护程序，用上了各种反跟踪技术保护程序不被调试、脱壳等，其加壳后的体积大小不是其考虑的主要因素，如ASProtect、Armadillo、EXECryptor 等。
随着加壳技术的发展，这两类软件之间的界线越来越模糊，很多加壳软件除具有较强的压缩性能，同时也有了较强的保护性能。
a.常用压缩壳介绍1) ASPacKASPack是款Win32可执行文件压缩软件，可压缩Windows 32位可执行文件（.exe）以及库文件（.dll、.ocx），文件压缩比率高达40%～70%。
图1.22) UPXUPX是一个以命令行方式操作的可执行文件经典免费压缩程序，压缩算法自己实现，速度极快。
（开源）3) PECompactPECompact同样也是一款能压缩可执行文件的工具（支持EXE、DL L、SCR、OCX等文件）。
相比同类软件，PECompact提供了多种压缩项目的选择，用户可以根据需要确定哪些内部资源需要压缩处理。
同时，该软件还提供了加解密的插件接口功能。
图1.3b.加密保护壳介绍为了保护自己的软件不轻易被他人“借鉴”，有必要对软件进行一些加密保护，而这方面目前己有成熟的专业加密软件可选择。
但不要太依赖壳的保护，大多数壳是可以被攻破的，还是在自身保护上下些功夫。
加密软件比较多，但在强度与兼容性上做的好的并不多，这里向大家介绍几款常见的。
现在壳的发展一个趋势就是虚拟机保护，利用虚拟机保护后，能大大提高强度，因此建议尽可能使用此类技术保护软件。
如Themida ，WinLicense，EXECryptor等壳带有虚拟机保护功能，因此得用好其S DK。
1) ASProtectASProtect是一款非常强大的Windows 32位保护工具，这4、5年来，其一直在更新进步。
其开发者是俄国人Alexey Solodovnikov。
它拥有压缩、加密、反跟踪代码、反-反汇编代码、CRC校验和花指令等保护措施。
它使用Blowfish、Twofish、TEA等强劲的加密算法，还用RSA1024作为注册密钥生成器。
它还通过API钩子（API hooks，包括Import hooks（GPA hook）和Export hooks）与加壳的程序进行通信。
甚至用到了多态变形引擎（Polymorphic Engine）。
反Api hook代码（Anti-Apihook Code）和BPE32的多态变形引擎（BPE32的Polymorphic Engine）。
并且ASProtect为软件开发人员提供SD K，实现加密程序内外结合。
ASProtect SKE系列己采用了部分虚拟机技术，主要是在Protec t Original EntryPoint与SDK上。
保护过程中建议大量里使用SD K， SDK使用请参考其帮助文档，在使用时注意SDK不要嵌套，并且同一组标签用在同一个子程序段里。
ASProtect使用相当的简单，打开被保护的EXE/DLL文件后，选上保护的选项。
再单击菜单Modes，单击Add Mode按钮，将Is this Mode Avtive选上，最后，单击Pr otection标签，对软件进行保护即可。
ASProtect加壳过程中也可外挂用户自己写的DLL文件，方法是在上图中的External Options选项加上目标DLL即可。
这样，用户可以在DLL加入自己的反跟踪代码，以提高软件的反跟踪能力。
图1.42) Armadillo加密壳Armadillo也称穿山甲，是一款应用面较广的壳。
可以运用各种手段来保护你的软件，同时也可以为软件加上种种限制，包括时间、次数，启动画面等等！很多商用软件采用其加壳。
Armadillo对外发行时有Public，Custom两个版本。
Public是公开演示的版本，Custom是注册用户拿到的版本。
只有Custom才有完整的功能，Public版有功能限制，没什么强度，不建议采用。
图1.5二、脱壳1.侦壳侦测壳和软件所用编写语言的软件，因为脱壳之前要查他的壳的类型。
1）.侦测壳的软件fileinfo.exe 、PEID等等。
2）.侦测壳和软件所用编写语言的软件language.exe（两个功能合为一体，很棒）推荐language2000中文版（专门检测加壳类型）3）.软件常用编写语言Delphi，VisualBasic（VB）---最难破，VisualC（VC）。
PEiD的GUI界面操作非常方便直观。
它的原理是利用查特征串搜索来完成识别工作的。
各种开发语言都有固定的启动代码部分，利用这点就可识别出是何种语言编编译的。
同样，不同的壳也有其特征码，利用这点就可识别是被何种壳所加密。
PEiD提供了一个扩展接口文件userdb.txt ，用户可以自定义一些特征码，这样就可识别出新的文件类型。
有些外壳程序为了欺骗PEiD等文件识别软件，会伪造启动代码部分，例如将入口代码改成与Visual C++ 6.0所编程程序入口处类似代码，即可达到欺骗目的。
所以，文件识别工具所给出的结果只是个参考，文件是否被加壳处理过，还得跟踪分析程序代码才可得知。
目前Hying的壳PE-Armor伪装能力是最强的：图2.1PEiD分析不出类型的文件就报告是“Nothing found *”，如出现这情况一般都是未知壳或新版的壳。
下面PEiD识别出这个软件是用Asprotect 1.2x加的壳。
图2.2FileInfo（简称Fi）另一款不错的文件检测工具。
Fi运行时是DOS界面，在DOS窗口中运行程序相当不便，建议采用下面的技巧：首先，用鼠标将文件拖到Fi主文件上。