附加数据处理方法

本文介绍了如何处理附加数据,特别是附加在文件末尾、不被映射到内存的overlay数据。通过查找磁盘文件中最后一个全零段来确定附加数据的位置。实验步骤包括使用PEiD检查壳、OD脱壳、WinHex查找并复制附加数据到脱壳文件,最终成功运行程序。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

附加数据[overlay]:

附加数据是在附加在文件后面的,不被映射到内存空间中的数据,overlay是不映射到内存的,所以dump下来的时候是没有overlay的,需要我们手动把这一部分的数据粘贴到dump下来的数据后面。

处理附加数据:

原理:由于文件的对齐机制,磁盘上每个段的结束都填充了大量的0.附加数据在文件末尾,所以只要找到磁盘文件中最后一个全零段,接下来就是附加数据。

实验步骤:

首先运行程序,可以正常运行。
在这里插入图片描述
PEiD 查壳,发现被加了nSPack壳,后面有显示【Overlay】,表示有附加数据。
在这里插入图片描述
放入OD里脱壳,开头是pushfd和pushad入栈,后面的出栈命令肯定是popad和popfd,所以 右键,搜索命令序列,输入“popad popfd”,点击查找。
在这里插入图片描述
找到该命令序列后,在出栈命令处下断点,先运行到断点处,再单步运行到OEP。脱壳保存。
在这里插入图片描述
对脱壳后的文件进行修复:“附加到一个活动进程”—>OEP窗口输入正确的OEP—>“IAT自动搜

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值