脱壳基础篇

1.ESP定律

od打开程序，单步，当观察到右边寄存器窗口中仅有ESP变红时（一般是push或者pushad指令执行时），鼠标放在ESP后面的地址上，右键，点击HW break[ESP].然后f9运行，中断后单步，当有一处较大跳转时，则对应入口点。

原理：脱壳过程中要保持堆栈平衡。

2.两次内存镜像法

od打开程序后，alt-m打开内存窗口，在资源段（.rsrc）右键，设置内存访问断点，f9运行，中断后，再在代码段（或者紧接着PE文件头后面的段）设置内存访问断点。f9运行，单步若干步即可到达入口点。

原理：一班脱壳程序会访问资源段，然后脱完壳后会访问代码段。

3.查找指令法

若有push，pushad等指令，直接查找pop或者popad等指令（不点搜索整个快），然后f4运行到该指令处，就离入口点不远了。

4od插件SFX法

od->选项->调试设置->SFX,下面会显示三种模式，第二，第三种模式会具有一定的自动脱壳能力，载入程序后会自动脱壳停在入口点。