把这个版块与ESP定律有关的帖子看一遍,心得就出来了~~

不集中，难找。

以前有过不少介绍，现在已不是流行话题。还是自己搜搜以前的帖子吧。

坛子这么大,还真难找,我自己看着办吧.

这不过是跟踪的一个技巧，被人为扩大了，反而不好理解。

壳一般开始pusha，假设esp=aaa，最后会popa，esp又变成aaa
如果对aaa的数据设访问断点，就会在popa这种操作上中断，从而很快找到oep。

对于清drx的就无能为力。

堆栈平衡 不知道堆栈不平衡会怎样

crash

UPX壳用ESP很好脱，不知道，应用的范围是个什么样子的？

最初由 xuehei 发布
UPX壳用ESP很好脱，不知道，应用的范围是个什么样子的？

不用走弯路，UPX壳用OD打开后，按PageDown键向下翻几页就能找到OEP：

004052B3   .  83C3 04       add     ebx, 4
004052B6   .^ EB E1         jmp     short 00405299
004052B8   >  FF96 44500000 call    dword ptr [esi+5044]
004052BE   >  61            popad
004052BF   .- E9 3CBDFFFF   jmp     00401000 //到OEP
004052C4      00            db      00
004052C5      00            db      00
004052C6      00            db      00
004052C7      00            db      00

难道比ＥＳＰ定律还快吗？
0040E9F2    57              PUSH EDI
0040E9F3    48              DEC EAX
0040E9F4    F2:AE           REPNE SCAS BYTE PTR ES:[EDI]
0040E9F6    55              PUSH EBP
0040E9F7    FF96 A4EC0000   CALL DWORD PTR DS:[ESI+ECA4]
0040E9FD    09C0            OR EAX,EAX
0040E9FF    74 07           JE SHORT chap702.0040EA08
0040EA01    8903            MOV DWORD PTR DS:[EBX],EAX
0040EA03    83C3 04         ADD EBX,4
0040EA06  ^ EB E1           JMP SHORT chap702.0040E9E9
0040EA08    FF96 A8EC0000   CALL DWORD PTR DS:[ESI+ECA8]
0040EA0E    61              POPAD
0040EA0F  - E9 B826FFFF     JMP chap702.004010CC　　　　　　＼＼这里？
0040EA14    0000            ADD BYTE PTR DS:[EAX],AL
0040EA16    0000            ADD BYTE PTR DS:[EAX],AL
0040EA18    0000            ADD BYTE PTR DS:[EAX],AL
0040EA1A    0000            ADD BYTE PTR DS:[EAX],AL
0040EA1C    0000            ADD BYTE PTR DS:[EAX],AL
0040EA1E    0000            ADD BYTE PTR DS:[EAX],AL
0040EA20    0000            ADD BYTE PTR DS:[EAX],AL

直接找ＰＯＰＡＤ就可以吗？

想一下就知道是什么范围，如果只用不想，那还不如用脱壳机

我汇编没有基础的．