ESP定律法的步驟

    ESP定理脫殼（ESP在OD的暫存器中，我們只要在命令列下ESP的硬體訪問斷點，就會一下來到程式的OEP了！）

（1）開始就點F8，注意觀察OD右上角的暫存器中ESP有沒突現（變成紅色）（這只是一  般情況下，更確切的說我們選擇的ESP值是關鍵句之後的第一個ESP值）

（2）在命令列下：dd XXXXXXXX(指在當前程式碼中的ESP地址，或者是hr XXXXXXXX)，  按回車

（3）選中下斷的地址，斷點--->硬體訪--->WORD斷點

（4）按一下F9執行程式，直接來到了跳轉處，按下F8，到達程式OEP

實戰

1 查殼

用PEID查殼的結果如下圖，可以看出程式加了

2 尋找OEP

(1)用OD載入該程式

（2）按下F8單步步過，發現ESP此時是紅色，記下此時ESP暫存器中的值0012FF6C（載入程式處的下一個ESP是紅色，當然每個人機器上執行這個值有可能不同）

（3）在命令列下輸入dd 0012FF6C，然後按下回車鍵

（4）選中要下斷點的0012FF6C那行，依次選擇斷點 -> 硬體訪問 -> Word

(5) 在選單欄除錯（D）下的硬體斷點（H）下選項下可以看到我們設定的硬體斷點

（6）然後按下F9執行程式，執行到程式停止

（7）刪除前面下的硬體斷點，選擇除錯（D）下的硬體斷點（H），彈出如下對話方塊，點選  刪除1按鈕刪除前面下的硬體斷點

（8）運用F8很快會到達程式的OEP（此時需要使用F8單步步過）

3 脫殼

可以使用OD自帶外掛，也可以用LordPE，方法和前面"單步跟蹤法"中使用方法一樣

4 修復

可以使用ImportFix，方法和前面"單步跟蹤法"中使用方法一樣