脱壳之附加数据段的提取

附加数据段不属于如何一个区块，由于PE文件被映射到内存是按照区块映射的，所以附加数据段是不能被映射到内存的。

    附加数据段是在所有区块的最后，用PEiD观察可以发现它有一个OVerload的数据段，如下图：从这个数据可以看出，他的附加数据段在文件位置的的3800处，

    同时也可以看出这个PE文件是用UPX加壳了的，脱壳之后会发现，其附加的数据段没有被dump下来，这个时候就需要用十六进制文件去手动去添加。用修正读取附加数据段的指针。

转载于:https://www.cnblogs.com/endeavour/archive/2011/12/08/2280448.html