【文章标题】: crackmegame游戏一下的[Overlay]脱壳步骤（初学脱壳请进）
【文章作者】: NBA2005
【作者邮箱】: STOCKFOX1699·126.COM
【软件名称】: crackmegame游戏一下 XINGCHAO
【下载地址】: http://webdisk.lbyc.cn/myfile/xingc119/Crackmegame/CREAKGAME.rar
【加壳方式】: UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]
【编写语言】: Microsoft Visual C++ 6.0 [Overlay]
【使用工具】: PEID、OLLYDBG、W32dasm8.93、Import Fix 1.6傲鳥修正版、WinHex_12.75_SR-6_HA
【操作平台】: WIN2000、XP
【软件介绍】: http://bbs.pediy.com/showthread.php?t=58118
【作者声明】: 看到许多人问，加上本人一向很懒，就弄个小题目写写。基本知识看http://www.pediy.com/bbshtml/bbs6/pediy6923.htm
--------------------------------------------------------------------------------
【详细过程】
  基本过程：
  脱壳 处理OverLay
  ESP定律+Cut OverLay+Paste OverLay
  为了便于分析，处理后的程序见附件。
  
  我只是具体步骤化。平台：【操作平台】: WIN2000
  
  
  1.PEID查壳。UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]。
  [Overlay]提示脱壳有难度。
  
  2.OLLYDBG手动脱壳。OLLYDBG载入Hackgbeta.exe：004AD1A0 >    60            pushad    典型的语句。
  老实的做法就是看跳转，然后按F4，直到POPAD+领空大跳转。
  快捷的做法就是右击--查找--所有命令--输入POPAD--
  找到的命令
  地址       反汇编                                    注释
  0041E3EC   popad
  0041EC3F   popad
  00420B2E   popad
  00421B1C   popad
  00421DAC   popad
  00423D54   popad
  004246D8   popad
  00425482   popad
  004260EB   popad
  00426832   popad
  0042826E   popad
  0042839E   popad
  00428761   popad
  00429F67   popad
  0042A076   popad
  0042BFA4   popad
  0042D7ED   popad
  0042E881   popad
  0042E9AA   popad
  0042F9CA   popad
  00430608   popad
  0043440E   popad
  0043473A   popad
  004357CB   popad
  00437A2F   popad
  0043A09F   popad
  0043ABD6   popad
  0043B7C3   popad
  0043D6F1   popad
  00442F5B   popad
  004430D7   popad
  00443ED4   popad
  004448B7   popad
  00444EFF   popad
  0044CAFA   popad
  00451C19   popad
  00456086   popad
  00456B36   popad
  00458441   popad
  00459AEE   popad
  0045AC8D   popad
  0045C0FC   popad
  0045C59C   popad
  0045E3A2   popad
  0045F4FF   popad
  00460792   popad
  00460F4D   popad
  004644A9   popad
  004658DD   popad
  004660D0   popad
  00466B6C   popad
  004675D9   popad
  0046790A   popad
  00469EA5   popad
  0046A82D   popad
  0046CD3C   popad
  0046D401   popad
  0046EE69   popad
  00472C60   popad
  00474037   popad
  00475B22   popad
  00476850   popad
  00478EB5   popad
  00479705   popad
  004797EF   popad
  0047B93C   popad
  004808F0   popad
  00480BE3   popad
  004818DC   popad
  00481B0B   popad
  004859FA   popad
  00485ABE   popad
  00487CD8   popad
  0048B83F   popad
  0048DBD3   popad
  0048E7F2   popad
  0049708F   popad
  00499884   popad
  0049B1E1   popad
  0049CBD8   popad
  0049E14E   popad
  0049EADE   popad
  004A27ED   popad
  004A36D3   popad
  004A5550   popad
  004A59ED   popad
  004A6376   popad
  004A7FD7   popad
  004AD07B   popad
  004AD1BD   inc     edi                               (初始 CPU 选择)
  004AD33D   popad
  在最后一个双击，
  004AD335   .  50            push    eax
  004AD336   .  54            push    esp
  004AD337   .  50            push    eax
  004AD338   .  53            push    ebx
  004AD339   .  57            push    edi
  004AD33A   .  FFD5          call    ebp
  004AD33C   .  58            pop     eax
  004AD33D   .  61            popad
  004AD33E   .  8D4424 80     lea     eax, dword ptr [esp-80]
  004AD342   >  6A 00         push    0
  004AD344   .  39C4          cmp     esp, eax
  004AD346   .^ 75 FA         jnz     short 004AD342
  004AD348   .  83EC 80       sub     esp, -80
  004AD34B   .- E9 4F65F5FF   jmp     0040389F
  
  看到了吧：    004AD33D   .  61            popad
  下面的大跳转：004AD34B   .- E9 4F65F5FF   jmp     0040389F
  
  记下OEP-- 0040389F，取389F。为什么？复习脱壳知识吧。
  来到原始程序领空：
  0040389F    55              push    ebp
  004038A0    8BEC            mov     ebp, esp
  004038A2    6A FF           push    -1
  004038A4    68 F8724000     push    004072F8
  004038A9    68 04554000     push    00405504
  004038AE    64:A1 00000000  mov     eax, dword ptr fs:[0]
  004038B4    50              push    eax
  004038B5    64:8925 0000000>mov     dword ptr fs:[0], esp
  004038BC    83EC 58         sub     esp, 58
  004038BF    53              push    ebx
  004038C0    56              push    esi
  
  在0040389F    55              push    ebp处选插件--OLLYDUMP-DUMP DEBUGGED PROGRESS
  点DUMP，保存为001Hackgbeta.exe。顺手点方式2保存为002Hackgbeta.exe，脱壳的习惯做法。
  
  3.W32dasm8.93确定最后区块的描述，即确定[Overlay]的起始位置。载入：
  Number of Objects = 0003 (dec), Imagebase = 00400000h
  
     Object01: CODE     RVA: 00001000 Offset: 00000400 Size: 00000000 Flags: 60000080
     Object02: DATA     RVA: 0001E000 Offset: 00000400 Size: 0008F400 Flags: E0000040
     Object03: .rsrc    RVA: 000AE000 Offset: 0008F800 Size: 00001400 Flags: C0000040
  
  
  +++++++++++++++++++ MENU INFORMATION ++++++++++++++++++
  Object03: .rsrc    RVA: 000AE000 Offset: 0008F800 Size: 00001400 Flags: C0000040是最后区块的信息。
  8F800+1400=90C00，就是[Overlay]的起始位置。
  4.Import Fix 1.6傲鳥修正版修复PE。
  双击Hackgbeta.exe。
  Import Fix 1.6傲鳥修正版打开运行，附加到一个活动进程--Hackgbeta.exe。
  OEP填389F，点自动查找ITA，点获取输入表，点修复转储文件，选001Hackgbeta.exe，保存成功。
  5.WinHex_12.75_SR-6_HA填加丢失的数据。
  打开Hackgbeta.exe--位置--转到偏移量--输入90C00--ALT+1--拉到最后--ALT+2---CTRL+C。
  打开001Hackgbeta_.exe--拉到最后---CTRL+V---保存。
  6.验证脱壳。双击001Hackgbeta_.exe，正常运行。
  
--------------------------------------------------------------------------------
【经验总结】
  其实许多人困惑的就是确定[Overlay]的起始位置。网上的相关文章难理解的地方在于：许多人把OLLYDBG中DUMP的虚拟区块
  的地址和数据区块的地址混淆了。
  自己的疑问：
  我脱壳后的文件与作者的文件大小有差异，如何产生？我是1691KB，作者的是1684KB。我怀疑和操作系统有关，所以我文章开头强调了系统。
  至于指针向前的例子不在本文讨论范围。
  
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2008年01月21日 下午 06:30:48

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！