ESP定律原理详解，只看这一篇文章就够了

前言

闲着也是闲着，在逆向某软件时深入了解了下ESP定律，然后就想写个文章记录并分享下。

ESP定律又称堆栈平衡定律，是应用频率最高的脱壳方法之一 ,不论是新手还是老手都经常用到。据我所知，ESP定律是一位外国大牛发现的，但目前已无从考证（未找到相关资料）。

前置知识

栈

栈（stack）是内存中分配的一段空间。

向一个栈插入新元素又称作入（push）放到栈顶元素的上面，使之成为新的栈顶元素；

从一个栈删除元素又称作出栈（pop），它把栈顶元素删除掉，使其相邻的元素成为新的栈顶元素。

call

相当于高级语言中的函数调用。当执行call指令时，进行两步操作：将下一条的指令的地址压入栈中，再跳转到该地址处。相当于：

push ip
jmp near ptr 地址

ret && retf

与call指令相对应，将当前的ESP寄存器中指向的地址出栈，然后跳转到这个地址。相当于：

pop ip
#ret

pop IP
pop CS
#retf

操作示例

这是我写的一个带壳的32位小程序，用来当做esp定律应用的一个示例。这是一个比较机械的方法，但可以对esp定律有一个