在二进制文件中查找压缩或加密部分的一个好方法是熵调查，因为压缩和加密部分显示高度无序（值 1 表示最大无序）。我可以推荐工具binwalk，它可以生成内存熵的图形输出。该图显示了 binwalk 输出，作为对嵌入式设备进行此类静态分析的示例，显示了不同内存部分的典型熵。

底部是对应的 Ida 内存映射的叠加。

对于大多数包装工来说：

• 解压或解密的开始几乎是入口点（可能混入了一些反调试）。
• 静态分析一般无法找到解压或解密的结尾。