qq_54894802的博客

因此根据这个原理，我们可以在堆栈处，设置访问断点，让程序运行，当程序暂停的时候，就是壳程序即将执行完的时候，然后在其附近单步跟踪就可以找到原始OEP了。通过这两到题，我们大致可以发现，upx脱壳，就是去寻找可疑点，jmp,或者ret，因为壳是一个程序，因此我们脱壳就是要其运行完成的结果，所以我们在脱壳过程中总是要跳到ret，也就是这个原因。对于脱一般的程序壳的时候，我主要用的是ida来脱壳，一般ida实在脱不了了再想到用od来脱，od,，所以我记录的大多都是用的ida来脱的。然后运行，寻找可疑点。