脱壳 !EP(EXE PACK)1.2

0x1 查壳 将程序拖入！Exeinfo PE显示如下。 程序拖入OD 看到第一行有pushad指令，利用ESP定律，执行一步F8。ESP定律是典型的堆栈平衡，因为只要保存了所有寄存器的值都是要开始解密操作，等到解密完成后一般都会将所有初始化的寄存器值进行还原，即popad。所以我们只要在esp堆栈压入的最后一个数据那里设置硬件断点（因为堆栈式先进后出原则，esp现在指向的是压栈的最后的数据，还原

>>阅读原文<<