反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12

ESP定律法的步骤
ESP定理脱壳（ESP在OD的寄存器中，我们只要在命令行下ESP的硬件访问断点，就会一下来到程序的OEP了！）
（1）开始就点F8，注意观察OD右上角的寄存器中ESP有没突现（变成红色）（这只是一  般情况下，更确切的说我们选择的ESP值是关键句之后的第一个ESP值）
（2）在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者是hr XXXXXXXX)，  按回车
（3）选中下断的地址，断点--->硬件访--->WORD断点
（4）按一下F9运行程序，直接来到了跳转处，按下F8，到达程序OEP
 

1 查壳
用PEID查壳的结果如下图，可以看出程序加了ASPack2.12的壳

 
2 寻找OEP
(1)用OD载入该程序

 
（2）按下F8单步步过，发现ESP此时是红色，记下此时ESP寄存器中的值0012FF6C（载入程序处的下一个ESP是红色，当然每个人机器上运行这个值有可能不同）

 
（3）在命令行下输入dd 0012FF6C，然后按下回车键

 
（4）选中要下断点的0012FF6C那行，依次选择断点 -> 硬件访问 -> Word

 
(5) 在菜单栏调试（D）下的硬件断点（H）下选项下可以看到我们设置的硬件断点

 
（6）然后按下F9运行程序，运行到程序停止

 
（7）删除前面下的硬件断点，选择调试（D）下的硬件断点（H），弹出如下对话框，点击  删除1按钮删除前面下的硬件断点


（8）运用F8很快会到达程序的OEP（此时需要使用F8单步步过）

3 脱壳
可以使用OD自带插件，也可以用LordPE，方法和前面"单步跟踪法"中使用方法一样
 
4 修复
可以使用ImportFix，方法和前面"单步跟踪法"中使用方法一样