锐客网

  1. 首页 > 睿知 > it技术 > >

go语言程序加壳 go语言编写

IT技术Dword

go语言能做什么？很多朋友可能知道Go语言的优势在哪，却不知道Go语言适合用于哪些地方 。
1、 Go语言作为服务器编程语言，很适合处理日志、数据打包、虚拟机处理、文件系统、分布式系统、数据库代理等；网络编程方面 。Go语言广泛应用于Web应用、API应用、下载应用等；除此之外 ， Go语言还可用于内存数据库和云平台领域 ， 目前国外很多云平台都是采用Go开发 。
2、 其实Go语言主要用作服务器端开发 。其定位是用来开发"大型软件"的 ， 适合于很多程序员一起开发大型软件，并且开发周期长，支持云计算的网络服务 。Go语言能够让程序员快速开发，并且在软件不断的增长过程中，它能让程序员更容易地进行维护和修改 。它融合了传统编译型语言的高效性和脚本语言的易用性和富于表达性 。
3、 Go语言成功案例 。Nsq：Nsq是由Go语言开发的高性能、高可用消息队列系统，性能非常高，每天能处理数十亿条的消息；
4、 Docker：基于lxc的一个虚拟打包工具 ， 能够实现PAAS平台的组建 。
5、 Packer：用来生成不同平台的镜像文件，例如VM、vbox、AWS等，作者是vagrant的作者
6、 Skynet：分布式调度框架 。
7、 Doozer：分布式同步工具，类似ZooKeeper 。
8、 Heka：mazila开源的日志处理系统 。
9、 Cbfs：couchbase开源的分布式文件系统 。
10、 Tsuru：开源的PAAS平台 ， 和SAE实现的功能一模一样 。
11、 Groupcache：memcahe作者写的用于Google下载系统的缓存系统 。
12、 God：类似redis的缓存系统，但是支持分布式和扩展性 。
13、 Gor：网络流量抓包和重放工具 。
以上的就是关于go语言能做什么的内容介绍了 。
go语言语法(基础语法篇)import "workname/packetfolder"
导入多个包
方法调用 包名.函数//不是函数或结构体所处文件或文件夹名
packagename.Func()
前面加个点表示省略调用，那么调用该模块里面的函数，可以不用写模块名称了:
当导入一个包时，该包下的文件里所有init()函数都会被执行，然而，有些时候我们并不需要把整个包都导入进来，仅仅是是希望它执行init()函数而已 。下划线的作用仅仅是为了调用init()函数，所以无法通过包名来调用包中的其他函数
import _ package
变量声明必须要使用否则会报错 。
全局变量运行声明但不使用 。
func 函数名 (参数1，参数2，...) (返回值a 类型a, 返回值b 类型b，...)
func 函数名 (参数1，参数2，...) (返回值类型1, 返回值类型2 ， ...)
func (this *结构体名) 函数名(参数 string) (返回值类型1, 返回值类型2){}
使用大小来区分函数可见性
大写是public类型
小写是private类型
func prifunc int{}
func pubfunc int{}
声明静态变量
const value int
定义变量
var value int
声明一般类型、接口和结构体
声明函数
func function () int{}
go里面所有的空值对应如下
通道类型
内建函数 new 用来分配内存 ， 它的第一个参数是一个类型，不是一个值，它的返回值是一个指向新分配类型零值的指针
func new(Type) *Type
【go语言程序加壳 go语言编写】 [这位博主有非常详细的分析]
Go 语言支持并发 ， 我们只需要通过 go 关键字来开启 goroutine 即可 。
goroutine 是轻量级线程，goroutine 的调度是由 Golang 运行时进行管理的 。
同一个程序中的所有 goroutine 共享同一个地址空间 。
语法格式如下:
通道（channel）是用来传递数据的一个数据结构 。
通道的声明
通道可用于两个 goroutine 之间通过传递一个指定类型的值来同步运行和通讯 。操作符 - 用于指定通道的方向，发送或接收 。如果未指定方向，则为双向通道 。
[这里有比较详细的用例]
go里面的空接口可以指代任何类型(无论是变量还是函数)
声明空接口
go里面的的强制类型转换语法为:
int(data)
如果是接口类型的强制转成其他类型的语法为:
go里面的强制转换是将值复制过去,所以在数据量的时候有比较高的运行代价
谁能详细解说下脱壳步骤和软件【目标软件】WINME下的记事本
【加壳方式】Armadillo3.60 CopyMem-ll Debug-Blocker
【调试环境】：WinXP、Ollydbg、PEiD、LordPE、ImportREC 1.6F
1.前言
为了练习脱壳，前一段时间从网上下了一个Armadillo3.60，然后给记事本加壳，当然本人初学破解 ， 参考了很多大虾们的文章，然后自己模仿脱壳，可是当我修改了Magic Jump后，用401000段“内存断点”大法想到达那个盼望已久的OEP的时候，意外出现了：程序终止 ， 退出！是我做法错误，然后我又实验了N遍，依然如此 ， 为什么？随后又在论坛不停的搜索着，想找一些有关的知识，终于找到了（抱歉，忘记了作者是谁） ， 而且解决了这个问题 ， 为了使象我一样初学者不要重蹈覆辙，我决定详细的写一写 ， 也许你认为很简单，那么请略过 。
2.脱壳过程（分以下几步进行）
设置Ollydbg忽略所有的异常选项，用IsDebug 1.4插件去掉Ollydbg的调试器标志 。
（1）查找OEP
用OD中载入程序，下bp WaitForDebugEvent，F9运行，中断如下：
77E93A07 k 55 push ebp ====中断在此处，清除断点
77E93A08 8BEC mov ebp,esp
77E93A0A 83EC 68 sub esp,68
77E93A0D 56 push esi
77E93A0E FF75 0C push dword ptr ss:[ebp C]
查看堆栈窗口：
0012DAC0 00423D67 /CALL 到 WaitForDebugEvent 来自 NOTEPAD.00423D61
0012DAC4 0012EB84 |pDebugEvent = 0012EB84 ====注意这里
0012DAC8 000003E8 \Timeout = 1000. ms
在0012EB84所在的行上点击右键选“转存中跟随” 。
然后再下bp WriteProcessMemory,F9运行
77E41A90 k 55 push ebp ====中断在此处
77E41A91 8BEC mov ebp,esp
77E41A93 51 push ecx
77E41A94 51 push ecx
77E41A95 8B45 0C mov eax,dword ptr ss:[ebp C]
看数据转存窗口：
0012EB84 01 00 00 00 40 07 00 00 ...@ ..
0012EB8C 5C 01 00 00 01 00 00 80 \ .. ..
0012EB94 00 00 00 00 00 00 00 00 ........
0012EB9C CC 10 40 00 02 00 00 00 ?@. ...
0012EBA4 00 00 00 00 CC 10 40 00 ....?@.
0012EBAC CC 10 40 00 00 00 00 00 ?@.....
红色字体的4010CC就是OEP，这样我们接着来第2步
（2）dump文件
现在我们重新用OD中载入程序，下硬件断点 ， he WaitForDebugEvent ， F9运行 ， 中断如下：
77E93A07 k 55 push ebp ====中断在此处 ， 删除断点
77E93A08 8BEC mov ebp,esp
77E93A0A 83EC 68 sub esp,68
77E93A0D 56 push esi
77E93A0E FF75 0C push dword ptr ss:[ebp C]
Alt F9返回，搜索常数FFFFFFF8，来到（004243D6处）：
0042438A\83BD D0F5FFFFcmp dword ptr ss:[ebp-A30],0====参考文章里提到的关键代码
00424391 . 0F8C A9020000 jl NOTEPAD.00424640====跳转到00424640处，因此在00424640处下断点
00424397 . 8B8D D0F5FFFF mov ecx,dword ptr ss:[ebp-A30]
0042439D . 3B0D E4454500 cmp ecx,dword ptr ds:[4545E4]
004243A3 . 0F8D 97020000 jge NOTEPAD.00424640
004243A9 . 8B95 44F6FFFF mov edx,dword ptr ss:[ebp-9BC]
004243AF . 81E2 FF000000 and edx,0FF
004243B5 . 85D2 test edx,edx
004243B7 . 0F84 AD000000 je NOTEPAD.0042446A
004243BD . 6A 00 push 0
004243BF . 8BB5 D0F5FFFF mov esi,dword ptr ss:[ebp-A30]
004243C5 . C1E6 04 shl esi,4
004243C8 . 8B85 D0F5FFFF mov eax,dword ptr ss:[ebp-A30]
004243CE . 25 07000080 and eax,80000007
004243D3 . 79 05 jns short NOTEPAD.004243DA
004243D5 . 48 dec eax
004243D6 . 83C8 F8 or eax,FFFFFFF8=====搜索来到这里，向上看
004243D9 . 40 inc eax
004243DA33C9 xor ecx,ecx
004243DC . 8A88 802A4500 mov cl,byte ptr ds:[eax 452A80]
004243E2 . 8B95 D0F5FFFF mov edx,dword ptr ss:[ebp-A30]
004243E8 . 81E2 07000080 and edx,80000007
004243EE . 79 05 jns short NOTEPAD.004243F5
004243F0 . 4A dec edx
004243F1 . 83CA F8 or edx,FFFFFFF8
004243F4 . 42 inc edx
004243F533C0 xor eax,eax
004243F7 . 8A82 812A4500 mov al,byte ptr ds:[edx 452A81]
004243FD . 8B3C8D 60E244mov edi,dword ptr ds:[ecx*4 44E260]
00424404 . 333C85 60E244xor edi,dword ptr ds:[eax*4 44E260]
0042440B . 8B8D D0F5FFFF mov ecx,dword ptr ss:[ebp-A30]
00424411 . 81E1 07000080 and ecx,80000007
00424417 . 79 05 jns short NOTEPAD.0042441E
00424419 . 49 dec ecx
0042441A . 83C9 F8 or ecx,FFFFFFF8
0042441D . 41 inc ecx
0042441E33D2 xor edx,edx
00424420 . 8A91 822A4500 mov dl,byte ptr ds:[ecx 452A82]
00424426 . 333C95 60E244xor edi,dword ptr ds:[edx*4 44E260]
0042442D . 8B85 D0F5FFFF mov eax,dword ptr ss:[ebp-A30]
00424433 . 99 cdq
00424434 . B9 1C000000 mov ecx,1C
00424439 . F7F9 idiv ecx
0042443B . 8BCA mov ecx,edx
0042443D . D3EF shr edi,cl
0042443F . 83E7 0F and edi,0F
00424442 . 03F7 add esi,edi
00424444 . 8B15 D4454500 mov edx,dword ptr ds:[4545D4]
0042444A . 8D04B2 lea eax,dword ptr ds:[edx esi*4]
0042444D . 50 push eax
0042444E . 8B8D D0F5FFFF mov ecx,dword ptr ss:[ebp-A30]
00424454 . 51 push ecx
00424455 . E8 FF1F0000 call NOTEPAD.00426459
0042445A . 83C4 0C add esp,0C
0042445D . 25 FF000000 and eax,0FF====从这里开始修改
00424462 . 85C0 test eax,eax
00424464 . 0F84 D6010000 je NOTEPAD.00424640
在0042438A处下 硬件执行 断点，F9运行到0042438A处，得到ebp-A30=12EB70，这样上述的修改地方修改为：
0042445D FF05 70EB1200 inc dword ptr ds:[12EB70]
00424463 90 nop
00424464 ^ E9 21FFFFFF jmp NOTEPAD.0042438A
把12EB70处置0，去掉所有断点，并在00424640处下断，F9运行 ， 断住 。好了，所有代码都强制解压完成 。
运行LordPE,有2个关于NOTEPAD的进程，选择第2个，即可完全dump出来了 。
（3）修复IAT表
因为Armadillo的壳使得ImportREC的"IAT AutoSearch"失效，所以必须确定IAT的RAV以及大?。宋颐怯肙D载入刚刚DUMP出来的文件，来确定IAT的RAV以及大小，载入之前先修改入口点为10CC，然后载入：
004010CC d 55 push ebp
004010CD 8BEC mov ebp,esp
004010CF 83EC 44 sub esp,44
004010D2 56 push esi
004010D3 FF15 F4734000 call dword ptr ds:[4073F4]====注意这里
004010D9 8BF0 mov esi,eax
我们可以随便找一个CALL入手确定IAT的RAV以及大?。ú环琳铱吹降牡谝桓鯟ALL） 。光标定位到数据转存窗口中 ， 然后 Ctrl G,4073F4,可以看到：
004072E4 BE 7D 00 00 00 00 00 00 缄......
004072EC D7 23 DA 77 46 BA 3C 00 ?赵F?.
004072F4 F0 59 DA 77 CC 5E DA 77 餣赵蘜赵
..........(省略若干)
004073DC 7D 15 F5 77 90 9B 3C 00 } 鮳悰.
004073E4 03 38 E5 77 67 31 E5 77 8鍂g1鍂
004073EC 3C 51 E5 77 97 2D E5 77 Q鍂?鍂
004073F4 C7 C3 3C 00 45 9A E5 77 敲.E氩w====到达这里，由此处向上和向下看
004073FC 91 B2 3C 00 8D B8 3C 00 懖.嵏.
00407404 50 88 3C 00 CE 8A 47 77 P?.螉Gw
..........(省略若干)
00407504 EC 72 D1 77 11 9A D1 77 靣褀 氀w
0040750C 06 81 D1 77 D3 3D D1 77 布w?褀
00407514 37 89 3C 00 B3 22 32 76 7?.?2v
0040751C 39 DC 33 76 3B C2 32 76 9?v;?v
00407524 10 1D 34 76 D6 8B 32 76 4v謰2v
0040752C B7 44 33 76 70 1B 32 76 稤3vp 2v
00407534 8B 88 3C 00 00 00 00 00 媹.....
这样IAT的大小是终点-始点=00407530-004072EC=244，RVA=72EC 。为什么是这样呢，我们看到很多77XXXXXX之类的，而到了00407534处是8B 88 3C 00 ， 为了确定其是否在IAT内，我们可以在OD的CPU窗口内定位光标到401000处，然后Ctrl B,填入 34 75 40，结果搜索不到，而30 75 40能够搜索到，是JMP [407530]，因此确定IAT的终点点是407530，用同样的方法可以确定起点点是4072EC 。
好了 ， IAT的RAV以及大小确定了 ， 现在就要修复IAT了，用OD再一次载入未脱壳的程序，bp DebugActiveProcess，F9断下 。看堆栈窗口：
0012DAC4 00423BDB /CALL 到 DebugActiveProcess 来自 NOTEPAD.00423BD5
0012DAC8 00000324 \ProcessId = 324=====子进程句柄
0012DACC 0012FF2C
打开另一个OD附加324这个子进程 。然后ALT＋F9返回程序:
00433999 N - EB FE jmp short NOTEPAD.ModuleEntryPoint====中断在此处 ， 还原代码
0043399B EC in al,dx
0043399C |. 6A FF push -1
0043399E |. 68 503C4500 push NOTEPAD.00453C50
还原00433999处代码代码 ， EB FE改为55 8B，接下来就要按照FLY等大虾们的方法了 。在接下来的步骤中前一部分可以参考Fly的《壹次脱壳法——Armadillo 双进程标准壳 快速脱壳》 ， 我们从Magic Jump，避开IAT加密开始，取消以前断点 ， 下断：BP GetModuleHandleA 5，
77E59F98 /0F84 23060000 je kernel32.77E5A5C1====中断在此处 ， 注意看堆栈
77E59F9E |FF7424 04 push dword ptr ss:[esp 4]
77E59FA2 |E8 55080000 call kernel32.77E5A7FC
77E59FA7 |85C0 test eax,eax
在这里中断若干次，注意堆栈窗口的变化 ， 当出现：
......
0012BF20 00AAC807 返回到 00AAC807 来自 kernel32.GetModuleHandleA
0012BF24 00ABD6C8 ASCII "kernel32.dll"
0012BF28 00ABE67C ASCII "VirtualAlloc"
0012BF20 00AAC824 返回到 00AAC824 来自 kernel32.GetModuleHandleA
0012BF24 00ABD6C8 ASCII "kernel32.dll"
0012BF28 00ABE670 ASCII "VirtualFree"
0012BC98 00A9799B 返回到 00A9799B 来自 kernel32.GetModuleHandleA
0012BC9C 0012BDD4 ASCII "kernel32.dll"
然后Alt F9返回，
00A97995 FF15 C480AB00 call dword ptr ds:[AB80C4] ; kernel32.GetModuleHandleA
00A9799B 8B0D E011AC00 mov ecx,dword ptr ds:[AC11E0]====返回到这里
00A979A1 89040E mov dword ptr ds:[esi ecx],eax
00A979A4 A1 E011AC00 mov eax,dword ptr ds:[AC11E0]
00A979A9 393C06 cmp dword ptr ds:[esi eax],edi
00A979AC 75 16 jnz short 00A979C4
00A979AE 8D85 B4FEFFFF lea eax,dword ptr ss:[ebp-14C]
00A979B4 50 push eax
00A979B5 FF15 CC80AB00 call dword ptr ds:[AB80CC] ; kernel32.LoadLibraryA
00A979BB 8B0D E011AC00 mov ecx,dword ptr ds:[AC11E0]
00A979C1 89040E mov dword ptr ds:[esi ecx],eax
00A979C4 A1 E011AC00 mov eax,dword ptr ds:[AC11E0]
00A979C9 393C06 cmp dword ptr ds:[esi eax],edi
00A979CC 0F84 AD000000 je 00A97A7F====Magic Jump，修改为JMP
00A979D2 33C9 xor ecx,ecx
00A979D4 8B03 mov eax,dword ptr ds:[ebx]
修改了上面的Magic Jump后，清除所有断点，Alt M ,在401000上下 内存访问断点 ， F9运行 ， 这次中断到了OEP，然后运行ImportREC，选择324这个进程，OEP填：10CC，RVA：72EC，SIZE：244，然后“Get Imports”,再按“Show Invalid”地址，剪掉修复抓取文件,程序能够正常运行,至此脱壳完毕 !第一次用OD脱壳,感觉就是爽,和Softice比起来,感觉OD脱壳很方便.
关于go语言程序加壳和go语言编写的介绍到此就结束了 ， 不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站 。

    推荐阅读


    上一篇：如何正确卸载代理服务器？ 怎么样卸载代理服务器

    下一篇：如何在IBM服务器上进行引导？ ibm服务器怎么做引导