• 一、单步跟踪法
• 二、ESP定律
• 三、内存镜像法
• 四、一步到OEP
• 五、最后一次异常法

插件：StrongOD，CPUPatch，ColorCopy

常用脱壳方法总结：

一、单步跟踪法

介绍:这是最通用的方法,对于未知壳,基本都用这种方法,这种方法过程比较麻烦,要一步一步的跟踪分析,要有一定的耐心.

1.用OD载入,选”不分析代码”

2.单步向下跟踪按F8，实现向下的跳.不让程序往回跳.

3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）

4.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易运行.

5.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入.

6.一般遇到很大的跳转（跨段跳），比如 jmp XXXXXX 或 JE XXXXXX 或有RETN的一般很快就会到程序的OEP。

二、ESP定律

介绍: 这种方法可以脱大部的压缩壳和少数加密壳,操作起来比较简单,脱壳速度也相对比较快.

1.开始就点F8向下走，注意观察OD右上角的寄存器中ESP有没突现（变成红色）

2.hr esp 下硬件访问断点

3.按一下F9运行程序，直接来到了跳转处，按下F8向下走，就到达程序OEP。

三、内存镜像法

介绍:也是一种比较好用的脱壳方法,大部分的压缩壳和加密壳用内存镜像法能快速脱掉.非常实用.

1.用OD打开,设置选项——调试选项——异常,忽略所有异常(也就是把里面的忽略全部√上),然后CTRL+F2重载下程序！

2.按ALT+M,打开内存镜象，找到程序的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点.

3.接着再按ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的.CODE，按F2下断点！然后按SHIFT+F9，直接到达程序OEP！

四、一步到OEP

介绍:这是一种巧方法,脱壳速度最快,前提是要知道这个壳的特征,利用这种壳的共性快速找到程序的OEP.这种方法只用于少数壳.

1.开始按Ctrl+F,输入：popad,然后按下F2下断，按F9运行到此处.

2.很快来到大跳转,按F8向下走,来到OEP.

五、最后一次异常法

介绍:这种方法一般用于加密壳,这是脱加密壳的一种通用方法.

第一步:用OD打开程序,点击选项——调试选项——异常，把里面的√全部去掉！CTRL+F2重载下程序.

第二步:接着我们按SHIFT+F9,直到程序运行,记下从开始按SHIFT+F9到程序运行的次数n.

第三步:重载程序,再按SHIFT+F9,这次按的次数为上次让程序运行时的次数的n-1次.

第四步:此时观察OD的右下角有一个”SE 句柄”,这时我们按CTRL+G，输入SE 句柄前的地址！来到这个地址.

第五步:在这里,按F2下断点！然后按SHIFT+F9来到断点处！

第六步:这时候我们已经跳过了所有异常,然后去掉断点，按F8慢慢向下跟踪很快就到达OEP了.

1.内存数据看输入表，一般都是一些API地址块，块之间会有一个间隔，特征比较明显。修复输入表时可以使用这些地址来修复。

2.修复输入表时如果出现无效的结构，并且剪切后导致修复后的程序无法运行，可以reset程序，定位到内存数据中对该地址下硬件写入断点，当API地址被修改时分析上面的跳转（被称为magic jmp），reset程序下次强制跳过输入表破坏的代码。

3.bp VirtualProtect（bp VirtualProtectEx）

   载入程序后bp VirtualProtect下断，F9运行一直到跑飞，记下F9按下的次数，例如23次。reset程序bp VirtualProtect下断，F9 22次之后返回用户代码，可以综合利用一下方法找到OEP：

a)单步跟踪到OEP；b)混合使用ESP定律；c)对于某些VC程序bp GetVersion，bp GetCommandLineA下断后F9运行可到OEP不远处，向上即可找到OEP 。

 对于有些教程所说的bp VirtualProtect下断后F9一直运行到堆栈窗口出现EXECUTABLE字样时意味着快到OEP了，这个说法并不通用，至少我还没见过，这个方法待定吧。

如果你的原版OD+StrongOD最新版，依然被Anti了，那么做如下：

1.升级dbghelp.dll，下载 dbghelp.rar (378.73 KB) 2.StrongOD中选择CreateAsRestrict 3.改变ollydbg.ini中的驱动名称 4.改OD窗体类名方法如下： 主窗体类名:

VA:004B7218 Offset:000B6018 各子窗体类名：VA:004B565B ~ 004B568A Offset:000B445B ~ 000B448A 改成任意，可以过GetWindow检测 fly：手动脱壳理想的最佳dump时机是指壳已经把程序代码包括资源等数据全部解密、输入表等数据还原但还未填充系统函数地址、DLL则还未重定位，此时dump出来的文件只需修正OEP、ImportTableRVA等信息即可正常运行完成脱壳。

其他：

bp GlobalFree

bp VirtualFree

bp GetModuleHandleA

bp GetModuleFileName

bp GetVersion

bp GetCommandLineA

bp GetStartupInfoA