脱壳八法（草稿版本）

1. 单步跟踪

以upx壳为例

要选择“否”

一直往下走，直到出现下图,其他壳一步步F8，哪个CALL跑飞了就F7进入。

F4运行到JMP处，再F8即是原始OEP

使用OllyDump：不要勾选“重建输入表”，注意入口点地址的修正；

使用ImportREC修正RVA的地址和大小（ctrl+B查找“FF 15”，数据窗口中跟随——>内存地址，数据类型显示为：长型——>地址），删除无用的导入表函数，“修正转储”到已经脱壳的程序上。

2. ESP定律

应用情况：单步F8，只有ESP是红色的（变化）

ESP：数据窗口中跟随，下硬件访问断点

3. 两次断点

然后单步就可以找到原始OEP

4. 最后一次异常

不忽略所有异常

看“shift+F9”几次程序可以运行（有界面），例如是3次，那么就要执行两次，然后“反汇编窗口中跟随”

然后下F2断点，之后单步跟踪

5. SFX法

6. 模拟跟踪

7. 出口标志

8. 秒到OEP