最近学校大罢工，整好有个机会写篇文章。。。
刚学习行才一个月~秀下自己的学习笔记！
因为自己有一点点编程基础，所以本人学习计划内不包编程笔记了！
我学习步骤：一、学习脱各种不同的壳；
二、学习解密；
三、学习算法；
四、学习编程写注册机；
五、提高编程基础；

以后学到的加密壳等笔记也会放到论坛上给各位参考，共同进步！！

让高手见笑了。。。呵呵！！让咱们一起飞吧菜鸟们！！

手脱 UPX 壳的捷径

用我们已开始提到的”关键提示“。

具体操作：OD载入程序后，直接Ctrl+F，输入 POPAD ;点确定后 来到这个命令所在的位置。按

F2，在这个地方下断；再按F9（运行）；停止后，按F2取消刚才下的断点。再F8单步！

1、手脱 ASPCK 的壳

脱这个壳用ESP定律，还是相对快捷的。可以用载入程序后，第二行（是一个CALL）那里面的

ESP。 //多数程序这个壳的第二行都是一个CALL

在左OD左下角的命令行中，输入命令：hr ESP地址（如 hr 0012FFA4）；F9 运行。然后从OD”

调试菜单“中的”硬件断点“这一项将刚才下的断点删除，这点很重要！最后F8单步！

2、用 内存镜像法 手脱FSG 1.33 和 PCshrink 的壳

1、忽略所有异常
2、Alt+M 打开内存镜像，找到第一个 ”.rsrc“
3、F2（下断），F9（运行）
4、Alt+M 打开内存镜像，找到”Code“段；
5、F2（下断），Shift+F9【这点一定要记住，切记是 Shift+F9】运行；
6、先按F8，再按下F4，直接到达OEP

3、手脱 JDpack 壳 和 PEpack 1.0 的壳 最简单的方法

脱这个壳推荐使用内存镜像法；

我在用ESP脱壳的时候发现：ESP定律的速度和单步跟踪的速度差不多，所以在这里就不推荐了

。相反，脱 PEpack 1.0 壳 的时候，用ESP定律是最快捷的方法。

4、手脱 PEDiminisher ；Dxpack 0.86 ；32lite 0.03a ；PEtite 2.2 这几种壳的简单方法

脱PEDiminisher ；Dxpack 0.86 ；这两种壳的时候，直接用之前讲到的ESP定律，即可完美脱

壳。命令：【hr ESP地址】

用ESP脱 32lite 0.03a 后 要注意的是，需要用 ImportREC 这个工具进行修复。如：00410D50

在输入框中输入 10D50 就可以了 【004舍去】

在用ESP定律脱 PEtite 2.2 的时候，推荐选择 Pushad 下面那行地址中的 ESP

5、手脱 Exestealth 2.72 的壳

看到这或许大家会沉迷与ESP定律当中，在这里提醒大家：Exestealth 2.72 的壳 用我们一开

始提到的”懒方法脱壳“是最简单的；

6、手脱nspack（北斗）1.3 的壳

1、ESP定律，命令：hr ESP地址 【脱壳后程序不能正常运行】
2、用 ImportREC 这个工具进行修复，修复后程序正常运行。

另类方法脱 ASPack 2.12R 壳的技巧

Ctrl+S 搜索：retn 0C【retn和零C 中间有个空格】 找到后向下看，如下：

retn 0C
push 0 //在 retn 0C 的下面
retn //在这个地方按 F2（下断） ；F9（运行）

停止后按 一下 F8（单步）；再按一下 F7（跟进） 观看这看不懂？没关系，要是我，我也看

不懂，所以我早有准备；详细步骤，如下（这是某程序的一部分）：

程序中断后来到这里：

0046B3B8 C2 oc00 retn 0C //开始F8（单步）
0046B3B9 68 64584500 push registra.00455864 //这里调用来自 00455864 （OEP）
0046B3C0 C3 retn //F7(跟进) 步入到OEP

注意：这种壳ESP不能直接脱。

7、手脱Telock及Yodas Crypter

最后一次异常法！

总结（引用）
四.常用脱壳方法总结

------------------
方法一:单步跟踪法
------------------
介绍:这是最通用的方法,对于未知壳,基本都用这种方法,这种方法过程比较麻烦,要一步一步的跟踪分析,要有一定的耐心.

1.用OD载入,选"不分析代码"

2.单步向下跟踪按F8，实现向下的跳.不让程序往回跳.

3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）

4.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易运行.

5.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入.

6.一般遇到很大的跳转（跨段跳），比如 jmp XXXXXX 或 JE XXXXXX 或有RETN的一般很快就会到程序的OEP。

-----------------
方法二:ESP定律法
-----------------
介绍: 这种方法可以脱大部的压缩壳和少数加密壳,操作起来比较简单,脱壳速度也相对比较快.

1.开始就点F8向下走，注意观察OD右上角的寄存器中ESP有没突现（变成红色）

2.在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者hr
XXXXXXXX)，按回车！

3.选中下断的地址，断点--->硬件访--->WORD断点。

4.按一下F9运行程序，直接来到了跳转处，按下F8向下走，就到达程序OEP。

-----------------
方法三:内存镜像法
-----------------
介绍:也是一种比较好用的脱壳方法,大部分的压缩壳和加密壳用内存镜像法能快速脱掉.非常实用.

1.用OD打开,设置选项——调试选项——异常,忽略所有异常(也就是把里面的忽略全部√上),然后CTRL+F2重载下程序！

2.按ALT+M,打开内存镜象，找到程序的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点.

3.接着再按ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的.CODE，按F2下断点！然后按SHIFT+F9，直接到达程序OEP！

----------------
方法四:一步到OEP
----------------
介绍:这是一种巧方法,脱壳速度最快,前提是要知道这个壳的特征,利用这种壳的共性快速找到程序的OEP.这种方法只用于少数壳.

1.开始按Ctrl+F,输入：popad,然后按下F2下断，按F9运行到此处.

2.很快来到大跳转,按F8向下走,来到OEP.

----------------------
方法五:最后一次异常法:
----------------------
介绍:这种方法一般用于加密壳,这是脱加密壳的一种通用方法.

第一步:用OD打开程序,点击选项——调试选项——异常，把里面的√全部去掉！CTRL+F2重载下程序.

第二步:接着我们按SHIFT+F9,直到程序运行,记下从开始按SHIFT+F9到程序运行的次数n.

第三步:重载程序,再按SHIFT+F9,这次按的次数为上次让程序运行时的次数的n-1次.

第四步:此时观察OD的右下角有一个"SE 句柄",这时我们按CTRL+G，输入SE 句柄前的地址！来到这个地址.

第五步:在这里,按F2下断点！然后按SHIFT+F9来到断点处！

第六步:这时候我们已经跳过了所有异常,然后去掉断点，按F8慢慢向下跟踪很快就到达OEP了.

下一篇我会总结！ASProtect、Themida、 SVKP的脱法！

=============================================================================

关于Armadillo（穿山甲）壳脱壳

已有人仁兄总结我就不总结了，
地址：http://bbs.pediy.com/showthread.php?t=77137

[课程]Android-CTF解题方法汇总！