PE文件添加Overlay

Overlay，简单的说就是PE文件末尾添加一段附加数据，不会影响可执行文件的执行，我们可以用附加数据校验可执行文件是否被恶意修改。

以下代码简单得往可执行文件末尾添加一段原始文件的md5值。

#include <stdio.h>
#include <stdlib.h>
#include <windows.h>
#include <winnt.h>
#include <iostream>
#include <string>
#include "md5.h"

using namespace std;

std::string md5str(char* szBuf,int nLen)
{
 md5_state_t state;
 md5_byte_t digest[16];
 char hex_output[16*2 + 1];
 int di;

 md5_init(&state);
 md5_append(&state, (const md5_byte_t *)szBuf, nLen);
 md5_finish(&state, digest);

 for (di = 0; di < 16; ++di)
  sprintf(hex_output + di * 2, "%02x", digest[di]);

 return hex_output;
}

//大文件可以使用内存映射
std::string md5file(char* szFileName)
{
 FILE* fp = fopen(szFileName,"rb");
 if (fp != 0)
 {
  fseek(fp,0,SEEK_END);
  int nSize = ftell(fp);
  char* szBuf = new char[nSize+1];
  memset(szBuf,0,nSize+1);
  fseek(fp,0,SEEK_SET);
  int nRet = fread(szBuf,nSize,1,fp);
  fclose(fp);
  std::string strHash = md5str(szBuf,nSize);
  delete [] szBuf;
  return strHash;
 }
 return "";
}

//暂时不判断已经加了overlay的情况，可以从pe区段表获取原始文件大小，文件大小减去原始大小就是overlay
int addOverlay(char *szFileName)
{
 std::string strhash = md5file(szFileName);
 FILE* fp = fopen(szFileName,"a+b");
 if (fp != 0)
 {
  fwrite(strhash.c_str(),strhash.size(),1,fp);
  fclose(fp);
  return 0;
 }

 return -1;
}

int _tmain(int argc, _TCHAR* argv[])
{
 addOverlay("D:\\test.exe");
 return 0;
}