esp定律法脱upx-aspack-VGC壳

esp定律的功效：

upx壳
---------------------------------------
载入程序后：
0040EF20 >  60              PUSHAD //程序入口
0040EF21    BE 15C04000     MOV ESI,upx.0040C015  //来到这里，看ollydbg右窗口esp寄存器的值=“12ffa4”
0040EF26    8DBE EB4FFFFF   LEA EDI,DWORD PTR DS:[ESI+FFFF4FEB]
0040EF2C    57              PUSH EDI
0040EF2D    83CD FF         OR EBP,FFFFFFFF
0040EF30    EB 10           JMP SHORT upx.0040EF42
0040EF32    90              NOP
0040EF33    90              NOP

-------------------------------------------------------------

鼠标选中esp,再按右键选中“在数据窗口跟随”或者在左下角命令输入“dd  "esp值"”，
选择断点--设置硬件访问断点---word,然后按F9运行

0040F06F  - E9 5820FFFF     JMP upx.004010CC  //直接中断在这里，跳向oep
0040F074    0000            ADD BYTE PTR DS:[EAX],AL
0040F076    0000            ADD BYTE PTR DS:[EAX],AL

-------------------------------------------------------------

再看看aspack

0040D001 >  60              PUSHAD  //程序入口
0040D002    E8 03000000     CALL aspack2_.0040D00A ////来到这里，看ollydbg右窗口esp寄存器的值=12ffa4
0040D007  - E9 EB045D45     JMP 459DD4F7
0040D00C    55              PUSH EBP

---------------------------------------------------------------

鼠标选中esp,再按右键选中“在数据窗口跟随”或者在左下角命令输入“dd  "esp值"”，
用鼠标选中00 00 ，再按鼠标右键，选择断点--硬件访问---word,
然后按F9运行

0040D3B0   /75 08           JNZ SHORT aspack2_.0040D3BA //直接中断在这里.
0040D3B2   |B8 01000000     MOV EAX,1
0040D3B7   |C2 0C00         RETN 0C
0040D3BA   \68 CC104000     PUSH aspack2_.004010CC //跳向这里，程序的oep
0040D3BF    C3              RETN
0040D3C0    8B85 26040000   MOV EAX,DWORD PTR SS:[EBP+426]

------------------------------------------------------------------
VGCrypt壳

0040584C >  9C               pushfd  //壳的入口点
0040584D    55               push ebp
0040584E    E8 EC000000      call VGCrypt_.0040593F
00405853    87D5             xchg ebp,edx
00405855    5D               pop ebp
00405856    60               pushad
00405857    87D5             xchg ebp,edx  来到这里，看ollydbg右窗口esp寄存器的值=12ffa4
00405859    80BD 15274000 01 cmp byte ptr ss:[ebp+402715],1
00405860    74 39            je short VGCrypt_.0040589B
00405862    C685 15274000 01 mov byte ptr ss:[ebp+402715],1
00405869    E9 E4000000      jmp VGCrypt_.00405952
0040586E  - E9 79DAFF90      jmp 914032EC
------------------------------------------------------------------------
鼠标选中esp,再按右键选中“在数据窗口跟随”或者在左下角命令输入“dd  "esp值"”，
用鼠标选中00 00 ，再按鼠标右键，选择断点--硬件访问---word,
然后按F9运行

-------------------------------------------------------------------------
004058A8    9D               popfd  //壳的出口点
004058A9    8B9A 09274000    mov ebx,dword ptr ds:[edx+402709]
004058AF    898A 09274000    mov dword ptr ds:[edx+402709],ecx
004058B5    FFE3             jmp ebx         //跳到程序的如口点
004058B7    8DBD CD264000    lea edi,dword ptr ss:[ebp+4026CD]
004058BD    8B37             mov esi,dword ptr ds:[edi]