前言
闲着也是闲着,在逆向某软件时深入了解了下ESP定律,然后就想写个文章记录并分享下。
ESP定律又称堆栈平衡定律,是应用频率最高的脱壳方法之一 ,不论是新手还是老手都经常用到。据我所知,ESP定律是一位外国大牛发现的,但目前已无从考证(未找到相关资料)。
前置知识
栈
栈(stack)是内存中分配的一段空间。
向一个栈插入新元素又称作入(push)放到栈顶元素的上面,使之成为新的栈顶元素;
从一个栈删除元素又称作出栈(pop),它把栈顶元素删除掉,使其相邻的元素成为新的栈顶元素。
call
相当于高级语言中的函数调用。当执行call指令时,进行两步操作:将下一条的指令的地址压入栈中,再跳转到该地址处。相当于:
push ip
jmp near ptr 地址
ret && retf
与call指令相对应,将当前的ESP寄存器中指向的地址出栈,然后跳转到这个地址。相当于:
pop ip
#ret
pop IP
pop CS
#retf
操作示例
这是我写的一个带壳的32位小程序,用来当做esp定律应用的一个示例。这是一个比较机械的方法,但可以对esp定律有一个