引用老外 LaBBa 的话。

===================== 
关于stolen bytes 
===================== 

稍微说明一下: 

每一种编译工具例如 : VC++ , Delphi , Borland , etc.. 

在OEP有一个唯一的/相同的PE头 

其中的一些是这样的: 

Push EBP 
MOV Ebp,Esp 
Add ESP , -xxxxx
Mov EAX, xxxxx

(共11bytes) 

或者: 

Push EBP 
MOV Ebp,Esp 
Add ESP , -xxxxx
Push EBX 
Push ESi 
Push EDi 
Mov EAX, xxxxxx

(共14 bytes) 

这个程序我们不知道

Add ESP ,-xxxxx

Mov EAX, yyyyy

xxxxx是多少?

当前 ESP=0012FEA8,EBP=0012FFC0

那么

Push EBP 
MOV Ebp,Esp 
Add ESP,xxxxx 执行到这里ESP=EBP=12ffc0
Mov EAX,yyyyy 执行到这里后 xxxxx=0012FFC0-12FEA8=118 Add Esp,-118, 12ffc0+(-118)=12fea8
CALL 004079B8 //当前位置EAX=0056EAB0=yyyyy Mov EAX,0056EAB0