180223 逆向-脱壳技术（6）

1625-5 王子昂 总结《2018年2月23日》 【连续第510天总结】
A. 脱壳技术（6）附加数据
B.

附加数据

某些PE文件在各个区块之后还有一些数据，它们不属于任何区块，由于PE文件被映射到内存是按区块映射的，因此这些数据是不能被映射到内存中的，这些额外的数据就被称为附加数据（overlay）

附加数据的起点是最后一个区块的末尾，终点是文件末尾

dump程序内存的时候，由于附加数据不会被装载到内存中，因此要手动修复。
复制粘贴回去以后，要考虑原文件读取附加数据的方式—脱壳前后的文件大小是不同的

如果直接通过文件长度-length/尾部-length指针的方式读取，则没有影响。而若是硬编码的长度，则需要Patch指针使其正确指向附加数据才行

C. 明日计划
脱壳技术（7）