在分析botnet木马的时候，发现了利用魔改upx压缩的样本，因为gdb没有类似于x32dbg那种方便的iat修复功能和内存dump功能，所以esp定律能用也受限。这里使用ida搭配idc脚本的方式进行脱壳，并采用 ida 的finger插件进行函数名称修复。

关键脚本

压缩壳的脱壳思路基本一致，在解压程序将内容完全解压，然后跳转到真正的入口点，把程序dump下来，然后修复一下iat就差不多了。

但是因为这里是一个botnet样本，基本都是系统调用出来的，所以iat修不修无所谓了。

下面这个idc脚本就是用来dump程序，并且修改iat的作用。

#include <idc.idc>
#define PT_LOAD              1
#define PT_DYNAMIC           2
static main(void)
{
    auto ImageBase,StartImg,EndImg;
    auto e_phoff;
    auto e_phnum,p_offset;
    auto i,dumpfile;

    // 基地址和起始地址，这里根据实际修改，一般不用改
    ImageBase=0x400000;
    StartImg=0x400000;
    EndImg=0x0;

    // 检查是不是elf文件
    if (Dword(ImageBase)==0x7f454c46 || Dword(ImageBase)==0x464c457f )
    {
        if(dumpfile=fopen("D:\\dumpfile","wb"))//更改路径
        {
            // 计算程序头表的偏移和条目数量
            e_phoff=ImageBase+Qword(ImageBase+0x20);
            Message("e_phoff = 0x%x\n", e_phoff);
            e_phnum=Word(ImageBase+0x38);
            Message("e_phnum = 0x%x\n", e_phnum);

            // 遍历程序头表中的每个条目
            for(i=0;i<e_phnum;i++)
            {
                // 检查程序头条目的类型是否为加载段或动态加载信息段
                if (Dword(e_phoff)==PT_LOAD || Dword(e_phoff)==PT_DYNAMIC)
                {
                    // 段在文件中的偏移
                    p_offset=Qword(e_phoff+0x8);
                    // 段的起始地址
                    StartImg=Qword(e_phoff+0x10);
                    // 段的结束地址
                    EndImg=StartImg+Qword(e_phoff+0x28);
                    Message("start = 0x%x, end = 0x%x, offset = 0x%x\n", StartImg, EndImg, p_offset);
                    // 将段的内容保存到文件
                    dump(dumpfile,StartImg,EndImg,p_offset);
                    Message("dump segment %d ok.\n",i);
                }
                // 更新程序头表的偏移
                e_phoff=e_phoff+0x38;
            }
           // 指向程序头表的偏移位置
           fseek(dumpfile,0x3c,0);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           // 存储着程序头表中每个条目的大小
           fseek(dumpfile,0x28,0);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fputc(0x00,dumpfile);
           fclose(dumpfile);
        } else Message("dump err.");
   }
}
static dump(dumpfile,startimg,endimg,offset) 
{
    auto i;
    auto size;
    size=endimg-startimg;
    fseek(dumpfile,offset,0);
    for ( i=0; i < size; i=i+1 ) 
        fputc(Byte(startimg+i),dumpfile);
}