ESP定律脱壳

最新推荐文章于 2024-03-15 19:29:17 发布
最新推荐文章于 2024-03-15 19:29:17 发布
阅读量1.8k 收藏
点赞数
分类专栏： hack技术

ESP定律脱壳，很容易上手，网上也有这方面的视频教程，看一个就知道了。不过对于ESP定律的原来，暂时不去研究。看雪论坛上面很有多讨论这个问题的帖子，有兴趣的朋友可以自己去找找看。本人对ESP定律该在何时使用也很迷茫中。

ESP定律的大概步骤：
OD载入加壳程序，然后当popad执行之后，观察ESP的值，然后跟踪ESP的值在内存中的位置，对那个地方进行下断点（word的硬件访问断点）。接着F9，来到断点处，之后F8，当ret/retn到某一个地方的时候，就是OEP了。

文字描述可能不太清楚，下面贴一些ESP定律脱壳过程中的一些截图，图片更形象。

pushad
设置硬件访问断点
找到OEP

原创文章，转载请注明:
本文出自程序人生 >> ESP定律脱壳

lly20000
关注
专栏目录
利用ESP定律进行脱壳
ChuMeng1999的博客
11-11 914
目录预备知识壳的概念UPXPEiDOllyDbg实验目的实验环境实验步骤一实验步骤二实验步骤三 预备知识 基础的汇编语言命令以及对汇编程序的基本审计能力。 壳的概念 加壳的全称应该是可执行程序资源压缩，是保护文件的常用手段。加壳过的程序可以直接运行，但是不能查看源代码。要经过脱壳才可以查看源代码。 加壳是利用特殊的算法，对EXE、DLL文件里的资源进行压缩、加密。类似WINZIP的效果，只不过这个压缩之后的文件，可以独立运行，解压过程完全隐蔽，都在内存中完成。它们附加在原程序上通过Windows加载器载入内
脱壳(一) —— ESP定律
weixin_44122225的博客
11-20 2254
1.PUSHAD （压栈） 代表程序的入口点, 2.POPAD （出栈） 代表程序的出口点，与PUSHAD想对应，一般找到这个OEP就在附近 3.OEP：程序的入口点，软件加壳就是隐藏了OEP（或者用了假的OEP/FOEP），只要我们找到程序真正的OEP，就可以立刻脱壳。 一、ESP定理脱壳 （通过下ESP硬件访问断点找到OEP） 1.开始就点F8，注意观察OD右上角的寄存器中ESP有没突现变成红色。（这只是一般情况下，更确切的说我们选择的ESP值是关键句之后的第一个ESP值） 2.选中ESP，进行数据访问
【图】用ESP定律脱壳
qingye
10-19 2838
用堆栈平衡定律脱壳【附图】用PEiD查壳，看【图1】 用OD载入，【图2】，注意ESP的值变化 F8单步，来到这，看见ESP值变化，在命令窗口中输入【图3】 继续F8，单步，走到我们想到的地方【图4】现在到了OEP了，接下来脱壳【图5】 看清【图6】，记下修正值，如果程序需要修复要用到这个值 用PEiD查看已经脱壳的程序【图7】 用修复软件，先运行没有脱壳的程序，然后选中他的进程【图8】
ESP脱壳定律
不凡乃大的博客
07-03 1372
ESP脱壳定律
ESP定律脱壳（吾爱复现）
weixin_49764009的博客
12-21 2806
ESP定律法简介 ESP定理脱壳（ESP在OD的寄存器中，我们只要在命令行下ESP的硬件访问断点，就会一下来到程序的OEP了！） 1.开始就点F8，注意观察OD右上角的寄存器中ESP有没突变成红色。（这只是一般情况下，更确切的说我们选择的ESP值是关键句之后的第一个ESP值） 2.在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者是hr XXXXXXXX)，按回车！ 3.选中下断的地址，断点—>硬件访—>WORD断点。 4.按一下F9运行程序，直接来到了跳转处，按下F8，到达程
第三课_ESP定律脱壳&简单爆破
07-15
第三课_ESP定律脱壳&简单爆破 入门转高手课程系列
详细介绍了脱壳常用的esp定律
10-03
### 详细解析ESP定律及其在脱壳技术中的应用 #### ESP定律概述 ESP定律是反汇编领域中一种常用的技术手段，特别是在脱壳过程中扮演着重要角色。它主要用于定位原始入口点（Original Entry Point，简称OEP），即被...
脱壳第一讲,手工脱壳ASPack2.12的壳.ESP定律-附件资源
03-05
脱壳第一讲,手工脱壳ASPack2.12的壳.ESP定律-附件资源
ESP定律脱壳详解
juce的专栏
03-29 5339
在我们开始讨论ESP定律之前，我先给你讲解一下一些简单的汇编知识。    1.call    这个命令是访问子程序的一个汇编基本指令。也许你说，这个我早就知道了！别急请继续看完。    call真正的意义是什么呢？我们可以这样来理解：1.向堆栈中压入下一行程序的地址；2.JMP到call的子程序地址处。例如： 00401029 .   E8 DA240A00 call 004A3508
手动脱壳---ESP定律
Casuall的博客
06-04 1085
首先这篇文章不是讲ESP定律的原理，第一次接触ESP定律，跟着教程做了一遍，做个笔记，记录手动脱壳的过程。 首先载入OD，F8执行到pushad下面的call，然后观察寄存器，如果只有ESP和EIP是红色的，那么可以用ESP定律。 右键ESP的数据，选择数据窗口中跟随，可以看到左下角的数据窗口发生了跳转。 然后选择第一个数据 --> 右键 --> 断点 --> 硬件访问 --&...
使用ESP定律_手工脱壳
weixin_30521161的博客
07-05 236
ESP定律脱壳一般的加壳软件在执行时，首先要初始化，保存环境（保存各个寄存器的值），一般利用PUSHAD（相当于把所有寄存器都压栈），当加壳程序的外壳执行完毕以后，再来恢复各个寄存器的内容，通过跨区段的转移来跳到程序的OEP来执行原程序，简单点来说就是会将加壳过程执行一遍之后会跳到OEP来执行源程序，当我们找到了OEP的时候就是找到了源程序，即可实现脱壳。 通常在软件的破解过程中，会遇到代码经过...
ESP定律法脱壳
小龙在线
09-12 965
上一篇使用单步调试的方法非常慢，还可以使用ESP定律法快速定位。 OllyDbg打开notepad.exe文件： 这里我们看到程序用了pushad来保存现场环境。我们单步，按F8步过一下，运行至0040D002的位置： 这时在Ollydbg右侧的寄存器面板上，ESP对应的数值变为红色： 也就是你会发现，ESP对应的0018FF6C是红色的 我们右键点击0018FF6C，选择HW break[ESP]，然后直接运行， 即按F9，我们来到了0040D3B0的位置处， 我们继续向下按F8到retn返回，就
ESP定律 和手动脱壳原理分析 <转>
secondwatch的专栏
08-02 1375
原文地址：http://hi.baidu.com/love_fj1314/blog/item/b82544cfea83b05a0fb34593.html ESP定律手动脱壳原理分析 一.准备知识 在我们开始讨论ESP定律之前，我先给你讲解一下一些简单的汇编知识。 1.call 这个命令是访问子程序的一个汇编基本指令。也许你说，这个我早就知道了！别急请继续看完。call
ESP定理手动脱壳
最新发布
2301_81223471的博客
03-15 532
本人还是一个正在摸索的小白，可能会有说错的地方，请大家多加指点！本人这篇文章可以让大家了解如何快速的过掉简单的壳，并没有讲解壳的执行流程等知识。使用ESP定律脱壳之前 ，我们要先知道什么是ESP定律，ESP是汇编中的栈顶寄存器，存放着栈顶的地址，栈顶和栈底有一个特性，那就是堆栈平衡，尤其是在调用函数的时候表示的尤为明显。
利用ESP定律脱壳
学习........
09-15 1180
ESP 定律脱16种壳大全 关于 ESP 脱壳找 EOP ESP 定律：就是加载程序后 F8单步运行 第一个变化的 ESP 值，右击寄存器上 ESP 在转存中跟随，在内存地址上 选中前四个，右击，断点，硬件访问，word F9，中断，....返回。
利用ESP定律进行脱壳 ——合天网安实验室学习笔记
weixin_42582241的博客
03-17 1062
实验链接 通过本实验理解ESP原理的操作机理，并掌握使用ESP原理进行脱壳的流程。 链接：http://www.hetianlab.com/expc.do?ce=ec372be3-7a24-4309-838d-92dc0e83869b 实验简介 实验所属系列： CTF竞赛 实验对象： 本科/专科信息安全专业 相关课程及专业： Windows编程，C语言，汇编语言 实验类别： 实践实验类 预备知识 ...
【灌水】天草逆向， esp定律脱壳
desword-- 技术，杂文。
12-16 1190
纯属灌水文章。今天随便看了一下天草高级视频。觉得讲得一般吧，题目是ip验证的，但是关于ip验证的相关的东西一个也没讲。是纯粹的破解。自己拿程序来试吧，发现没有服务端，完全不能通信实验。 期间谈到的所有相关的点，也是我平时有意无意会注意到的。 比如： 1、利用验证、确定之类的按钮，追踪关键跳； 2、从jnz  、je 等关键跳向上回溯找到关键判断 --》 cmp，test等。 就是
简述ESP定律在脱壳中的应用。
06-10
在脱壳中，我们可以利用ESP定律来定位加壳程序的OEP（Original Entry Point），即程序的入口点。 具体来说，我们可以通过在加壳程序中设置断点，然后在断点处查看ESP的值，找到调用加壳壳之前的ESP的值，从而推断出...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值