附加数据[overlay]:
附加数据是在附加在文件后面的,不被映射到内存空间中的数据,overlay是不映射到内存的,所以dump下来的时候是没有overlay的,需要我们手动把这一部分的数据粘贴到dump下来的数据后面。
处理附加数据:
原理:由于文件的对齐机制,磁盘上每个段的结束都填充了大量的0.附加数据在文件末尾,所以只要找到磁盘文件中最后一个全零段,接下来就是附加数据。
实验步骤:
首先运行程序,可以正常运行。
PEiD 查壳,发现被加了nSPack壳,后面有显示【Overlay】,表示有附加数据。
放入OD里脱壳,开头是pushfd和pushad入栈,后面的出栈命令肯定是popad和popfd,所以 右键,搜索命令序列,输入“popad popfd”,点击查找。
找到该命令序列后,在出栈命令处下断点,先运行到断点处,再单步运行到OEP。脱壳保存。
对脱壳后的文件进行修复:“附加到一个活动进程”—>OEP窗口输入正确的OEP—>“IAT自动搜