在计算机安全领域，脱壳是一种常见的逆向工程技巧，用于移除软件保护壳，以便分析和修改其代码。ESP定律（ESP Register Law）是一个重要的原则，用于指导脱壳的过程。下面我们将详细介绍基于ESP定律的手工脱壳步骤：
- 查壳：首先，我们需要确定软件所使用的加壳类型。这可以通过分析程序的特性或使用专业的加壳检测工具来完成。了解加壳类型有助于我们选择合适的脱壳方法。
- 载入OD（OllyDbg）：使用OllyDbg等调试工具载入待脱壳的程序。OllyDbg是一款功能强大的动态调试工具，支持多种加壳类型，是进行脱壳操作的重要工具。
- 单步向下执行：在OllyDbg中，按下F8键单步向下执行代码。注意观察右边的ESP（堆栈指针寄存器）和EIP（指令指针寄存器）的值。当这两个寄存器的值同时发生改变时，这通常意味着程序正在进行关键的跳转或执行关键操作。
- 记录ESP地址：一旦发现ESP和EIP同时改变，记下当前的ESP地址。这个地址通常对应着程序的某个重要位置，例如程序的入口点（OEP）。
- 设置断点：在OllyDbg的命令行中输入
dd ESP地址，回车执行。这将在指定的ESP地址处设置一个断点。之后，按下F9键运行程序，程序将在断点处暂停。 - 单步向下执行：继续使用F8键单步向下执行程序，直到发现一个大跳转。大跳转通常意味着我们已经接近程序的OEP（原始入口点）。
- 找到OEP：一旦识别出大跳转，程序通常会直接跳转到OEP。观察EIP寄存器的值，确认是否已经到达程序的OEP。如果到达了OEP，那么我们就可以说已经找到了程序的入口点。
- 复制OEP地址：在OllyDbg中，右键点击程序选择“脱壳在当前调试的进程”，然后复制显示的修正后的地址。这个地址就是程序的OEP，即程序的入口点。
- 修复程序：有了OEP地址后，我们就可以使用相应的脱壳工具或手动修复程序，移除加壳保护。这一步通常涉及到对程序进行重新编译或修改，使其成为一个可执行文件。
通过以上基于ESP定律的手工脱壳步骤，我们就可以成功地移除软件加壳保护，从而分析和修改程序的源代码。但请注意，脱壳是一项技术要求较高的工作，需要一定的经验和技能。在进行脱壳操作时，务必谨慎操作，避免对原程序造成不必要的影响或损坏。此外，合法获取软件的授权是进行脱壳操作的前提条件。