1625-5 王子昂 总结《2018年2月23日》 【连续第510天总结】
A. 脱壳技术(6)附加数据
B.
附加数据
某些PE文件在各个区块之后还有一些数据,它们不属于任何区块,由于PE文件被映射到内存是按区块映射的,因此这些数据是不能被映射到内存中的,这些额外的数据就被称为附加数据(overlay)
附加数据的起点是最后一个区块的末尾,终点是文件末尾
dump程序内存的时候,由于附加数据不会被装载到内存中,因此要手动修复。
复制粘贴回去以后,要考虑原文件读取附加数据的方式—脱壳前后的文件大小是不同的
如果直接通过文件长度-length/尾部-length指针的方式读取,则没有影响。而若是硬编码的长度,则需要Patch指针使其正确指向附加数据才行
C. 明日计划
脱壳技术(7)