本文介绍了如何处理附加数据，特别是附加在文件末尾、不被映射到内存的overlay数据。通过查找磁盘文件中最后一个全零段来确定附加数据的位置。实验步骤包括使用PEiD检查壳、OD脱壳、WinHex查找并复制附加数据到脱壳文件，最终成功运行程序。
附加数据[overlay]：
附加数据是在附加在文件后面的，不被映射到内存空间中的数据，overlay是不映射到内存的，所以dump下来的时候是没有overlay的，需要我们手动把这一部分的数据粘贴到dump下来的数据后面。
处理附加数据：
原理：由于文件的对齐机制，磁盘上每个段的结束都填充了大量的0.附加数据在文件末尾，所以只要找到磁盘文件中最后一个全零段，接下来就是附加数据。
实验步骤：
首先运行程序,可以正常运行。
PEiD 查壳，发现被加了nSPack壳，后面有显示【Overlay】，表示有附加数据。
放入OD里脱壳，开头是pushfd和pushad入栈，后面的出栈命令肯定是popad和popfd，所以 右键，搜索命令序列，输入“popad popfd”，点击查找。
找到该命令序列后，在出栈命令处下断点，先运行到断点处，再单步运行到OEP。脱壳保存。
对脱壳后的文件进行修复：“附加到一个活动进程”—>OEP窗口输入正确的OEP—>“IAT自动搜
最低0.47元/天 解锁文章
扫一扫
494
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
