Overlay

1. 1.     原来用peid查看是否加壳，显示overlay是说明这个PE文件有附加数据。

      

1.     附加数据是附加在文件后面的，不被映射到内存空间中的数据，它提供它自己的程序打开自己来读取，而在内存空间中看不到这部分数据

DWORD SetFilePointer(
HANDLE hFile, //在用CreateFileA打开后得到的文件句柄
LONG lDistanceToMove, //要移动的距离，这个是低32位
PLONG lpDistanceToMoveHigh, //要移动的距离，这是高32位，要注意这是一个指向数据的指针
DWORD dwMoveMethod //表示指针开始的位置
);

dwMoveMethod有3个参数
FILE_BEGIN  =0  表示指针不管当前的位置在什么地方，从第一个字节开始算。
FILE_CURRENT  =1  表示指针继承上面的，最后移动到的位置
FILE_END  =2  表示指针不管当前的位置在什么地方，从最后一个字节开始算。

•     使用FILE_END即可指向文件的最后，及overlay的末尾，因此如要读取overlay的部分，还是要确定overlay的大小
• 部分引用自http://blog.sina.com.cn/s/blog_5ddb939d0100eq2l.html###