万能脱壳工具v2.0

万能脱壳工具是一款专为病毒分析设计的辅助工具，集成了多种实用功能，适用于对可疑程序或恶意样本进行深入处理。该工具基于超级巡警的格式识别引擎，支持各类文件格式识别，并整合了查壳、虚拟机脱壳、PE文件编辑与重建、导入表抓取（内置虚拟机可解密部分加密导入表）、进程内存查看与DUMP、附加数据处理、文件地址转换、PEID插件支持、MD5计算以及快捷调用第三方分析工具等能力，是安全研究人员和逆向工程师处理加壳木马、病毒样本的得力助手。

核心功能详解

1. 查壳功能：支持文件或目录拖拽操作，也可通过右键菜单快速查壳。除内置的FFI壳库（unpack.avd）外，还兼容PEID格式的扩展壳库（需命名为userdb.txt）。若检测结果来自扩展库，壳信息后将标注“*”号以示区分。

2. 脱壳功能：当查壳完成后，“Unpack”按钮变为可用状态，表示可对该文件执行脱壳操作。工具采用虚拟机脱壳技术，在隔离环境中运行目标程序，确保系统安全不受威胁。

3. PE文件编辑功能：主界面清晰展示程序入口点、物理偏移及区段信息，并提供强大的编辑能力：

1. 显示详细的节段信息；
2. 编辑区段名称、大小、执行属性等参数；
3. 清除选定区段名称；
4. 自动修复区段结构；
5. 从磁盘加载或保存区段数据；
6. 新增或删除区段（包括仅从PE头移除而保留内容）；
7. 使用指定数据填充区段。

此外，通过“SubSystem”按钮可查看并编辑DOS头、NT头等PE结构，支持导出表与导入表的详细解析。

4. 附加数据检测：可扫描程序是否包含附加数据（Overlay），并精确显示其起始位置与大小，用户可通过“Del Overlay”或“Save Overlay”按钮进行删除或提取操作。

5. PEID插件支持：在“Options”中选择“Load Plugins”即可加载PEID插件（需置于plugins目录），无需重启程序即可使用，插件列表可通过“Plugin”菜单查看。

6. PE文件重建：脱壳后的文件常因结构损坏而无法正常运行，使用“Rebuild PE”功能（点击“ReguildPE”按钮）可自动修复PE结构，解决脱壳后无法二次加壳等问题。

7. 第三方工具集成：通过“Options”→“Manage Tools”可添加如IDA、OllyDBG等反汇编工具。添加后，在“Plugin”菜单中即可直接调用这些工具打开当前文件，提升分析效率。

8. 进程内存DUMP：点击“TaskView”可查看系统进程，支持终止进程及对模块内存进行三种方式的DUMP（Full、Partial、Region），并具备自动修正主模块镜像大小的能力。

9. 导入表抓取：点击“Get IAT”并选择目标进程后，可自动抓取导入表。使用前需正确填写OEP（原始入口点）。若遇加密函数，可在导入表窗口右键选择“VM Decode”尝试解密；对冗余条目，可使用“Del Thunk”或“Cut Thunk”移除。如需抓取非主模块的导入表，可在“Manipulation records”窗口右键选择“Load this module”后再执行抓取。

安装与启动指南

1. 下载软件压缩包（zip格式）；
2. 右键解压至当前文件夹，获得程序目录；
3. 进入解压目录，找到并双击“FFI.exe”；
4. 软件为绿色版，无需安装，双击即可直接运行进入主界面。

基础使用流程

1. 运行程序，进入主界面；
2. 点击“...”按钮加载待分析的加壳文件，系统将自动显示其基本信息；
3. 根据分析需求，点击相应功能按钮（如“Unpack”）执行脱壳或其他操作。

常见问题解答

什么是软件脱壳？
软件脱壳即对加壳程序进行逆向处理，去除其外壳保护层。所谓“壳”，是一段先于主程序运行的保护代码，用于防止程序被非法修改或反编译。因其功能类似自然界中的“外壳”，故得名“壳”。脱壳则是还原程序原始状态的关键步骤，广泛应用于安全分析与软件逆向领域。

同类工具对比参考

超强脱壳工具【ProcDump】：支持28类以上加壳类型，适用于资源修改前的预处理，尤其适合汉化爱好者使用，实测可成功脱除ACDSee v3.0的壳。

超级巡警自动脱壳机：完全基于虚拟机技术，可处理已知及未知壳型，专为病毒分析场景设计，所有操作在虚拟环境中完成，确保系统零风险。

E-Debug Events脱壳工具：一款免费的易语言反编译工具，支持静态编译调试及花指令处理，界面友好、操作简便，适合编程人员研究使用。

上述工具各具特色，用户可根据实际需求选择合适的脱壳方案。

版本更新亮点（V1.4）

• 新增基于虚拟机技术的自动导入表获取功能，具备自动解密能力，可有效处理ImportREC无法识别的加密导入表；
• 增强PE文件解析精度，对无效、错误或不可执行的PE文件提供详细错误说明；
• 引入皮肤切换功能，用户可在设置中自定义界面风格；
• 集成Fly收集的扩展签名库，提升壳识别覆盖率；
• 修复若干已知问题，优化整体稳定性。