脱壳：强壳（VMProtect/Themida）

何时使用 / 何时不用

• 用：[[re-packer-id]] 识别为强壳 / 虚拟化壳（VMProtect、Themida、Enigma 等）；简单壳手动流程失败（可能套强壳）；样本存在多层反调试拦截普通调试
• 用：需要干净样本做深度静态分析 / 破解前置（[[re-cracking]] 路径）
• 不用：简单压缩壳（[[re-unpack-simple]] 秒解，别用重流程）
• 不用：虚拟化代码可接受黑盒标注的目标（标记绕过比还原省 10 倍时间，见坑 2）
• 注意：本技能高成本、易失败——先评估目标价值与"只标注不还原"是否够用

工具准备

调试器（按 OS）

• Linux / Wine 下调试 PE: [[re-gdb]] —— apt install gdb / dnf install gdb / pacman -S gdb；Wine 直读：wine sample.exe 后 gdb -p <pid> attach（见 [[re-analyze/platform-tips]] Linux 分支）
• Windows: [[re-x64dbg]] —— 官方 release zip；x64dbg 对强壳的附加/断点支持更好，强壳场景优先
• WSL: 无法 attach Windows 进程，走 Windows 侧工具（[[re-analyze/platform-tips]] WSL 分支）
• 验证: gdb --version；x64dbg 能载入样本并单步