常见脱壳知识：
- 1.PUSHAD （压栈） 代表程序的入口点
- 2.POPAD （出栈） 代表程序的出口点，与PUSHAD相对应，一般找到这个,说明OEP可能就在附近
- 3.OEP：程序的入口点，软件加壳就是隐藏了OEP（或者用了假的OEP）
只要我们找到程序真正的OEP，就可以立刻脱壳。脱壳的几种方法：
方法一：单步跟踪
- 用OD载入，不分析代码！
- 单步向下跟踪F8，是向下跳的让它实现
- 遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——运行到所选）
- 绿色线条表示跳转没实现，不用理会，红色线条表示跳转已经实现！
- 如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，这样很快就能到程序的OEP
- 在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入
- 一般有很大的跳转，比如 jmp XXXXXX 或者 je XXXXXX 或者有RETE的一般很快就会到程序的OEP。
方法二：ESP定律脱壳（最常用）
- 用Od载入后就按F8，注意观察OD右上角的寄存器中ESP有没出现
- 在命令行下：dd 0012FFA4(0012FFA4指在当前代码中的ESP地址)，按回车！
- 选种下断的地址，下硬件访问WORD断点。
- 按一下F9运行程序，直接来到了跳转处，按下F8，到达程序OEP，脱壳
方法三：内存跟踪
- 用OD打开软件！
- 点击选项——调试选项——异常，把里面的忽略全部勾上，CTRL+F2重新加载程序
- 按ALT+M,打开内存镜象，找到第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点，接着再按ALT+M, 打开内存镜象，找到.RSRC上面的CODE，按F2下断点，然后按SHIFT+F9，直接到达程序OEP，脱壳
方法四：跟踪出口法
- 开始按Ctrl+F,输入：popad（只适合少数壳，包括ASPACK壳），然后按下F2，F9运行到此处
- 来到大跳转处，点下F8，脱壳
方法五：最后一次异常法
- 用OD打开软件
- 点击选项——调试选项——异常，把里面的勾全部去掉，CTRL+F2重新加载程序
- 在这里我们按SHIFT+F9，直到程序运行，记下从开始按SHIFT+F9到程序运行的次数
- CTRL+F2重新加载程序，按SHIFT+F9（次数为程序运行的次数-1次）
- 在OD的右下角我们看见有一个SE 句柄，这时我们按CTRL+G，输入SE 句柄前的地址！
- 按F2下断点，然后按SHIFT+F9来到断点处！
- 去掉断点，按F8慢慢向下走
- 到达程序的OEP，脱壳
一些小技巧
手脱 UPX 壳的捷径
OD载入程序后，直接Ctrl+F，输入 POPAD ;点确定后 来到这个命令所在的位置。按F2，在这个地方下断；再按F9（运行）；停止后，按F2取消刚才下的断点。再F8单步！
手脱 ASPCK 的壳
脱这个壳用ESP定律，还是相对快捷的。可以用载入程序后，第二行（是一个CALL）那里面的ESP。(多数程序这个壳的第二行都是一个CALL)，
在左OD左下角的命令行中，输入命令：hr ESP地址（如 hr 0012FFA4）；F9 运行。然后从OD”调试菜单“中的”硬件断点“这一项将刚才下的断点删除，这点很重要！最后F8单步！
手脱FSG 1.33 和 PCshrink 的壳
1、忽略所有异常
2、Alt+M 打开内存镜像，找到第一个 ”.rsrc“
3、F2（下断），F9（运行）
4、Alt+M 打开内存镜像，找到”Code“段；
5、F2（下断），Shift+F9【这点一定要记住，切记是 Shift+F9】运行；
6、先按F8，再按下F4，直接到达OEP
手脱 JDpack 壳 和 PEpack 1.0 的壳 最简单的方法
内存镜像法
手脱nspack（北斗）1.3 的壳
1、ESP定律，命令：hr ESP地址 【脱壳后程序不能正常运行】
2、用 ImportREC 这个工具进行修复，修复后程序正常运行。