[小白破解入门] 2、脱壳方法

1. 单步跟踪法
   F7单步步入下一条命令，遇到call 命令会进入；F8单步步过到下一条命令。如果当前命令是一个函数，则一次执行完这个函数。遇到后跳的命令，可以点击下一条然后F4运行到尺寸。

2. 一步直达
   直接右键查找命令，popad

3. esp定律
   在首句的下一句中，在寄存器FPU中找到esp（Extended Stack Pointer 为扩展栈指针寄存器 ）右键数据窗口跟随，在数值处设置硬件访问断点，运行一下，删除断点，运行，单步跟踪。（利用寄存器中栈全部取出时，刚好被加密的代码解码完时下断点。）

4. 2次内存镜像
   一个upx加密的程序主要是由upx代码、程序的代码段、数据段、资源段和其他代码组成
   原理就是upx要先读取代码，用upx对代码进行解压，后写入内存中。下了内存访问断点后就会在内存被访问时程序中断，此时代码已经解密。一般程序执行顺序就是.text代码段→.data数据段→.rsrc资源段，两次内存镜像法就是先在资源段下内存访问段点，执行程序，完成解码，oep一般就在代码段开头，在PE文件头下内存访问断点再执行，就会回到开头然后单步走就会到达oep。
   

5. 模拟跟踪

   在内存中找到SFX有行，确定地址为00430000，使用一下代码
   tc eip<00430000

6. SFX
   在选项 -> 调试中找到SFX，3个选项中视情况选择一个，然后重载程序。