用途：针对静态分析显示高熵区段、导入表极少（仅 LoadLibrary/GetProcAddress）且被 PEiD、Detect It Easy 或 PEStudio 识别为 UPX 的样本，恢复原始二进制以便在 Ghidra 或 IDA 中反汇编。不适用于自定义壳、VM 保护器（Themida、VMProtect）或更适合动态调试脱壳的样本。
主要能力：用 diec 与 upx -t 识别壳；用 pefile 计算区段熵并检查 UPX0/UPX1 区段名与导入数量；执行 upx -d suspect.exe -o unpacked.exe 标准脱壳；当头部被篡改时用 Python 脚本恢复 "UPX!" 魔数与区段名；自动失败时用 x64dbg 手动脱壳（PUSHAD 后在 ESP 设硬件断点，POPAD 后跳转 OEP，用 Scylla 转储并修复 IAT）；最后校验 PE 有效性、导入解析情况与文件大小比例。
使用方式：需安装 UPX（apt install upx-ucl 或 https://upx.github.io/）、Detect It Easy、Python 3.8+ 与 pefile、x64dbg/x32dbg、Scylla、PE-bear 或 CFF Explorer，并在无网络的隔离分析虚拟机中操作。
限制与注意：需在样本副本上操作；注意双重加壳与 UPX 区段后附加的 overlay 数据；手动内存转储后必须重建导入表，否则转储文件会崩溃。具体收费、平台与效果资料暂未提供。