参考资料主要来自网络和视频，理解和笔记自己想的
脱壳的步骤有：分析壳类型 → 找到OEP → DUMP脱壳 → 修复EIP
本文记录的是找到OEP方面一些理解后的技巧
方法一：单步跟踪法
1.用OD载入，点“不分析代码”
2.单步向下跟踪F8，实现向下的跳。也就是说向上的跳不让其实现！（通过F4）
3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）
4.绿色线条表示跳转没实现，不用理会，红色线条表示跳转已经实现！
5.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易跑飞，这样很快就能到程序的OEP
6.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入
7.一般有很大的跳转（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就会到程序的OEP。
理解：单步跟踪法其实主要是脱壳的时候利用F8单步分析，遇到近CALL时候F7跟进，原地循环的时候F4，最后大跳转时候可能就是EIP
主要初级练手学习的思路，也容易理解，壳代码执行过程中会首先解压出以前原始程序的相关资源代码，最后跳到原始程序的入口点（OEP），我们之所以F8就是跳过解压部分。当有时候原地循环一般是释放资源for循环的过程，这不是我们所关心的，我们只关心结果所以就在之后开始运行（F4）。值得注意的是，当附近有CALL的时候跟进（F7）主要是防止“跑飞”，比如说遇到CALL一个OD没有分析出代码内容的地址：
如图所示CALL 0040D00A，是属于跳到一条汇编指令（JMP 459DD4F7）的中间，如果认真对0040D00A地址代码分析就会发现其实是这样：
就是将ebp+1之后然后返回正好又运行到“jmp 0040D00E”的位置，假设贸然F8程序就“跑飞”了
方法二：ESP定律法
ESP定理脱壳（ESP在OD的寄存器中，我们只要在命令行下ESP的硬件访问断点，就会一下来到程序的OEP了！）
1.开始就点F8，注意观察OD右上角的寄存器中ESP有没突现（变成红色）。（这只是一般情况下，更确切的说我们选择的ESP值是关键句之后
的第一个ESP值）
2.在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者是hr XXXXXXXX)，按回车！
3.选中下断的地址，断点--->硬件访--->WORD断点。
4.按一下F9运行程序，直接来到了跳转处，按下F8，到达程序OEP。
理解：pushad时候，到最后程序解析释放完资源的时候popad，其实变化的主要是eip而别的寄存器没有发生变化，这样保护了平衡性。ESP定律正好抓住了这一点，在第一次ESP发生变化的时候，对ESP部分下了硬件访问断点（不能是写断点），当程序再一次访问到ESP指的那个栈位置时候就触发了中断。值得说明的是还别忘了中断后取消断点不然或许对后续运行有干扰。
方法三：内存镜像法
1：用OD打开软件！
2：点击选项——调试选项——异常，把里面的忽略全部√上！CTRL+F2重载下程序！
3：按ALT+M,打开内存镜象，找到程序的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点，接着再按ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的.CODE（也就是00401000处），按F2下断点！然后按SHIFT+F9（或者是在没异常情况下按F9），直接到达程序OEP！
理解（来自看雪上牛人的解释）：因为程序加壳后，运行的时候会进行解压，把加壳之前的结构映射到内存，最后一个一般就是rsrc资源段下。这个断点就是让文件完全映射到内存。然后壳会重新来code段进行一些操作，譬如打乱IAT，让你不能得到未加壳前文件的结构，这样在code段下断就可以来到OEP附近了。
提到了两点：从壳的角度出发，壳程序解压时候，映射到内存时候，最后一个一般是rsrc资源段，因此下断点就是让文件完全映射到内存。之后在code段下断是在壳代码处理IAT之后，位置会在OEP附近了。另外.CODE段其实不是很准确，这个和编译器甚至壳关系很大，严格说是0x00401000（基地址+0x1000）的地方！
方法四：一步到达OEP
1.开始按Ctrl+F,输入：popad（只适合少数壳，包括UPX，ASPACK壳），然后按下F2，F9运行到此处
2.来到大跳转处，点下F8，到达OEP！
理解：有点类似ESP定律的一种思路吧，因为PUSHAD和POPAD成对，如果说PUSHAD处理释放资源之后最后会在POPAD里面还原，那么确实最后一个POPAD之后就会到OEP了。不过记得也就UPX最明显，一个PUSHAD和POPAD，一找即中！这个方法不通用，倒不如说是写简单壳思路的一种逆向应用。
方法五：模拟跟踪法
1：先试运行，跟踪一下程序，看有没有SEH暗桩之类
2：ALT+M打开内存镜像，找到（包含=SFX,imports,relocations）
3：找到地址（假如为0054B000），如是我们在命令行输入tc eip<0054B000,回车，正在跟踪ing。。
理解：这个方法不能遇到程序有“暗桩”（反调试的手段）的情况，不然就会被断掉。
至于tc eip<0054B000，OD的tc命令是“Trace in till condition 跟踪直到条件进入”，即运行到eip小于.aspack那个段的时候。这个应该和特点的壳的特性有关，ASPACK在SFX,imports,resources区段里面解压，最后肯定要跨段访问0054B000的地址。因此在此处下断之后，可以往后跟踪不远找到OEP。
方法七：“SFX”法
1：设置OD，忽略所有异常，也就是说异常选项卡里面都打上勾
2：切换到SFX选项卡，选择“字节模式跟踪实际入口（速度非常慢）”，确定。
3：重载程序（如果跳出是否“压缩代码？”选择“否”，OD直接到达OEP）
理解：目前不大理解，不过确实是立竿见影。运行时候一定关注SFX选项卡里面的选择。
来源：https://www.cnblogs.com/FallenHWer/p/3395908.html