反编译-程序手动脱壳

手动脱壳方法

一、ESP定律

1、od载入目标，全部选择“否”。将会停在pushad地方。

2、按一下F8，观察右上角寄存器ESP会变红，选中右上角寄存器ESP-右键-数据窗口跟随-左下角数据窗口选中第一字节-右键-断点-硬件访问-byte。

3、F9运行一下到达壳外部，但此时还未到达真正OEP地址，继续F8，如果死循环了，则找到下面jmp点击-回车跳过去-到达push ebp为止。

4、此处push ebp下断点(F2)-F9运行到此处，右键-脱壳-注意观察入口点地址是否对应当前。