壳与混淆器识别

何时使用 / 何时不用

• 用：拿到未知样本先确认是否加壳、确定壳名以选择脱壳路径；静态初勘发现熵高 / 节名异常 / 导入表极小（见 [[re-triage]] 输出）需要进一步确认
• 用：动态分析前判断"观察到的行为是壳的还是程序的"
• 不用：目标已是干净样本、直接看逻辑（转 [[re-binary-core]]）
• 不用：已知确切壳名、只差脱壳动作（直接 [[re-unpack-simple]] / [[re-unpack-advanced]]，识别步骤可跳过）
• 注意：识别不出 ≠ 无壳（签名库不全 / 小众壳），需用特征组合判断，必要时按未知壳走手动流程

工具准备

静态识别可免沙箱（[[re-analyze/platform-tips]] 最高原则：静态分析可免沙箱）；工具先验证再使用。

Detect It Easy（DIE，跨平台主力）