动画介绍：大家好今天给的大家讲一下，FSG 2.0 “专用ESP定律”快速找OEP
下面请看动画。
FSG 2.0 -> bart/xt
Win98记事本
OD载入运行，无任何异常，判断其为压缩壳。
外壳入口.
00400154 > 8725 EC444100 xchg dword ptr ds:[4144EC], esp //还是可以对ESP定律入手,不过有些变化.
0040015A 61 popad
0040015B 94 xchg eax, esp //F8运行到这里,看堆栈.
0040015C 55 push ebp
0040015D A4 movs byte ptr es:[edi], byte ptr ds:[esi>
0040015E B6 80 mov dh, 80
00400160 FF13 call dword ptr ds:[ebx]
00400162 ^ 73 F9 jnb short NOTEPAD.0040015D
00400164 33C9 xor ecx, ecx
00400166 FF13 call dword ptr ds:[ebx]
00400168 73 16 jnb short NOTEPAD.00400180
0040016A 33C0 xor eax, eax
0040016C FF13 call dword ptr ds:[ebx]
0040016E 73 1F jnb short NOTEPAD.0040018F
00400170 B6 80 mov dh, 80
00400172 41 inc ecx
00400173 B0 10 mov al, 10
00400175 FF13 call dword ptr ds:[ebx]
堆栈友好提示.
004144F0 004001E8 NOTEPAD.004001E8
004144F4 004001DC NOTEPAD.004001DC
004144F8 004001DE NOTEPAD.004001DE
004144FC 004010CC NOTEPAD.004010CC //已知的记事本OEP
00414500 > 77E668FB KERNEL32.LoadLibraryA
00414504 > 77E661CD KERNEL32.GetProcAddress
直接Ctrl+G 去 4010CC下硬件执行断点,F9运行.
或者是点004010CC右键，转存中跟随。。。。（看动画操作）
分析代码。可以运行的。
| 
安全中国首页 > 动画中心 > 脱壳动画
