手脱无名壳tslgame_rl

1、使用Detect It Easy查壳，该壳未显示出壳信息，至于为何有壳，我们使用IDA打开，查看其的导入表，其中没有太多函数使用；

2、我们使用x32dbg打开，运行至入口点，此处没有pushad，在此处我们向下查找，只要能够找到大跳转，也能到OEP；

3、成功找到大跳转jmp tslgame_rl.407ADE，而此时EIP的地址为004011EA，我们在此处下断点运行，然后单步步入；

4、在这里，我们看到了pushad，我们使用ESP定律，然后运行；

5、运行后到达的位置是jmp tslgame_rl.4012CD，此处是大跳转，应该就是OEP了；

6、在此处进行脱壳操作；

7、再次查壳，再打开IDA查看导入表；

8、总结；

当脱一个壳时，如果入口点有pushad，则可以直接使用ESP定律，如果没有，则可以通过网络搜索，再则，如果是个未知壳，就只能手动查找大跳转；

来自为知笔记(Wiz)