一.OEP 平日 紧缩 壳添壳的DLL找OEP是比拟 单纯的
DLL卸载时会再次从EP处运转，几个跳转后便会到OEP了 00 九 四BEA0  八0 七C 二 四 0 八 0 一 cmp byte ptr ss:[esp  八], 一
//入进OllyDBG后停息 正在EP
00 九 四BEA 五 0F 八 五  七E0 一0000 jnz 00 九 四C0 二 九
//那面正在DLL卸载时会跳转，便是来OEP的捷径了 00 九 四C0 二 九 E 九 BE 三AFAFF jmp 00 八EFAEC
//那面便是跳OEP了 
_____________________________________________
两.输出表 RLPack V 一. 一X Full Edition添壳exe文献会添稀某些输出表，而添壳DLL则很长添稀输出表的
BP GetProcAddress
Shift F 九，中止 后撤消 断点，Alt F 九回归 00 九 四BF 五 七  五 六 push esi
00 九 四BF 五 八 FF 九 五 E 三0 九0000 call near dword ptr ss:[ebp  九E 三] ; kernel 三 二.LoadLibraryA
00 九 四BF 五E  八 九 八 五  四E0A0000 mov dword ptr ss:[ebp A 四E],eax
00 九 四BF 六 四  八 五C0 test eax,eax
00 九 四BF 六 六 0F 八 四 C 二000000 je 00 九 四C0 二E
00 九 四BF 六C  八BC 六 mov eax,esi
00 九 四BF 六E EB  五F jmp short 00 九 四BFCF
00 九 四BF 七0  八B 八 五  五 二0A0000 mov eax,dword ptr ss:[ebp A 五 二]
00 九 四BF 七 六  八B00 mov eax,dword ptr ds:[eax]
00 九 四BF 七 八 A 九 000000 八0 test eax, 八0000000
00 九 四BF 七D  七 四  一 四 je short 00 九 四BF 九 三
00 九 四BF 七F  三 五 000000 八0 xor eax, 八0000000
00 九 四BF 八 四  五0 push eax
00 九 四BF 八 五  八B 八 五  五 二0A0000 mov eax,dword ptr ss:[ebp A 五 二]
00 九 四BF 八B C 七00  二0 二0 二000 mov dword ptr ds:[eax], 二0 二0 二0 ; UNICODE "大众Hercegovina"
00 九 四BF 九 一 EB 0 六 jmp short 00 九 四BF 九 九
00 九 四BF 九 三 FFB 五  五 二0A0000 push dword ptr ss:[ebp A 五 二]
00 九 四BF 九 九 FFB 五  四E0A0000 push dword ptr ss:[ebp A 四E]
00 九 四BF 九F FF 九 五 E 七0 九0000 call near dword ptr ss:[ebp  九E 七] ; kernel 三 二.GetProcAddress
00 九 四BFA 五  八 五C0 test eax,eax
//回归那面
00 九 四BFA 七 0F 八 四  八 一000000 je 00 九 四C0 二E
00 九 四BFAD  八 九0 七 mov dword ptr ds:[edi],eax ; ntdll.RtlDeleteCriticalSection
//添补 体系 函数天址
//EDI=00 八F 三 一 五 四留意 不雅 察那个天址
00 九 四BFAF  八 三C 七 0 四 add edi, 四
00 九 四BFB 二  八B 八 五  五 二0A0000 mov eax,dword ptr ss:[ebp A 五 二]
00 九 四BFB 八 EB 0 一 jmp short 00 九 四BFBB
00 九 四BFBA  四0 inc eax
00 九 四BFBB  八0 三 八 00 cmp byte ptr ds:[eax],0
00 九 四BFBE  七 五 FA jnz short 00 九 四BFBA
00 九 四BFC0  四0 inc eax
00 九 四BFC 一  八 九 八 五  五 二0A0000 mov dword ptr ss:[ebp A 五 二],eax
00 九 四BFC 七  六 六: 八 一 七 八 0 二 00 八0 cmp word ptr ds:[eax  二], 八000
00 九 四BFCD  七 四 A 一 je short 00 九 四BF 七0
00 九 四BFCF  八0 三 八 00 cmp byte ptr ds:[eax],0
00 九 四BFD 二  七 五  九C jnz short 00 九 四BF 七0
00 九 四BFD 四 EB 0 一 jmp short 00 九 四BFD 七
00 九 四BFD 六  四 六 inc esi