标签：code 跟踪 round 删除 程序 利用 变化 指令 ack
0X00 了解 upx
UPX作为一款元老级PE加密壳，在以前的那个年代盛行，著名病毒【熊猫烧香】就是使用这款加密壳.
0X01 单步跟踪法
就是使用ollydbg加载程序后，按F8进行单步步过。如果遇到程序向上跳转（红色箭头表示跳转实现），则在程序命令的下一行按F4，将程序运行到所选位置。要保证程序一直向下跳转，否则运行一个向上跳转，就会跳到壳的循环当中，就出不来了。运行到一定代码后，如果看到一个比较大的跳转，可能是jmp，也可能是ret。跳转之后的代码是popad，一般就是到了程序的OEP了。然后脱壳即可。
注：
1.call 相当于高级语言中的函数调用。 当执行call指令时，进行两步操作： 将下一条的指令的地址压入栈中，再跳转到该地址处。
2.与call对应的就是RET，对于RET我们可以这样来理解：将当前的ESP寄存器中指向的地址出栈，然后跳转到这个地址
0X02 ESP定律
(1) 利用堆栈平衡的原理
ESP是应用频率最高的脱壳方法之一 ,不论是新手还是老手都经常用到。
而且，壳实质上是一个子程序，它在程序运行时首先取得控制权并对程序进行压缩。 同时隐藏程序真正的OEP。大多数病毒就是基于此原理，从而防止被杀毒软件扫描，而脱壳的目的就是找到真正的OEP（入口点）
由于在程序自解密或者自解压过程中, 多数壳会先将当前寄存器状态压栈, 如使用pushad, 而在解压结束后, 会将之前的寄存器值出栈, 如使用popad. 因此在寄存器出栈时, 往往程序代码被恢复, 此时硬件断点触发（这就是我们要下硬件断点的原因），然后在程序当前位置, 只需要一些单步操作, 就会到达正确的OEP位置.
注：几乎全部的压缩壳， 一些早期的加密壳，在载入程序后只有esp寄存器内容发生变化，那么这个程序多半可以用ESP定律。
(2) 具体操作
使用OD加载程序后，按F8进行单步跟踪，注意右上角的寄存器窗口，当发现ESP和EIP的值同时变红时（表示同时发生了变化）。在寄存器窗口中点击右键，选择“数据窗口中跟随”。然后在右下角的内存窗口中，点击右键，选择“断点”——“硬件访问”——“字”。最后按F9运行程序，就会直接来到程序的OEP附件了。最后记得要删除刚刚下的硬件断点。通过菜单栏上选择“调试”——“硬件断点”，就会看到我们下的断点，删除即可。
标签：code 跟踪 round 删除 程序 利用 变化 指令 ack
原文地址：https://www.cnblogs.com/blazarstar/p/12892653.html
