菜鸟学脱壳

                                           一般旧版upx脱壳
说明： upx典型的入口pushad，对应出口popad，一般都要经过JMP跨段跳跃到达程序的真正入口。
工具： OllyDbg v1.10 
方法1：逐步跟踪，F8一直往前走，不让程序往回走，想往回就F4跳过，直到遇到popad后边跟
              一个跨段跳跃（就是跳的很远）的JMP，期间可能有多次跟飞的情况，此时，只好再从头
             来过.注意要记下跟飞的地址，到这些地址时F4跳过。找到JMP后的地址，dump之即可。
方法2：下API断点,有两个常用的API断点:LoadLibraryA,GetProcAddress,在开始逐步跟踪的过程中
            如果发现解释栏有kernel32.LoadLibraryA或者kernel32.GetProcAddress（优先下断点）,
            直接在这里下断（命令行 bp  APIname),F9运行到断点，F2取消断点，Ctrl+F9运行程序到
            返回，此时距程序入口点就不远了，附近一定有个popad跟着一个跨段跳跃F8步进到popad
            后边的jmp就跳到程序的真正入口点，dump之即可.
方法3: 直接找popad,前提是你知道壳的特点,Ctrl+f寻找popad,在找到的地址处F2下断点,F9运行
           到断点,F2取消断点,后边的跨段跳跃直接指向程序的真正入口,F8到入口，dump之即可。
方法4：ESP定律，加载程序后，F8单步运行对应寄存器ESP的第一个变化值，右击esp寄存器，选择
           在转存中跟随（对应的命令行：d ESP值），找到对应内存地址的数值，右键选断点，硬件
           访问word，写入硬件断点。F9运行程序到断点，调试中找到刚才下的断点，删除断点，F8
           直接到程序的真正入口，dump之即可。                   
后记： dump后有可能无法运行,要用RecImport修复。