脱壳：压缩壳（UPX/ASPack/FSG）

何时使用 / 何时不用

• 用：[[re-packer-id]] 识别为简单压缩壳（UPX/ASPack/FSG 等）；壳入口有 pushad/pusha 特征；需要干净样本继续静态/动态分析
• 用：未知壳手动流程的第一步尝试（ESP 定律对多数压缩壳有效）
• 不用：强壳 / 虚拟化壳（VMProtect/Themida，转 [[re-unpack-advanced]]）
• 不用：目标已确认无壳（直接 [[re-binary-core]]）
• 不用：需要观察带壳行为本身（行为分析有时刻意保留壳，与 [[re-behavior]] 配合时评估）
• 注意：脱壳产物验证必须在沙箱（[[re-sandbox]]，[[re-analyze/platform-tips]] 最高原则）

工具准备

upx（官方解包主力）