windows脱壳总结

1、单步跟踪法

原理：单步跟踪就是有向上的跳转就在下面的代码上面F4，执行的跳转下面的代码，一直找直到找到OEP

2、ESP定律

对UPX ASPack的壳查找OEP使用
标志是第一行代码是 pushad
单步pushad
然后在ESP寄存器上右键数据窗口中跟随
数据窗口中ESP寄存器的地址处下硬件访问断点，F9让程序跑起来
断下之后JMP xxx 基本就是ESP了

3、2次镜像法

od中ALT+M打开内存，在程序的第一个.rsrc区段上F2断点，F9运行，断下之后再ALT+M找到00401000这个位置下断点，然后就跳到OEP附近了，单步跟踪到OEP。

4、SFX模拟跟踪法

ALT+O打开调试选项
选择第二个“块方式跟踪。。。”速度快
也可以选择第三个“字节方式跟踪。。。”这个速度慢
然后OD重新载入程序，即可停在OEP了。