脱壳之附加数据段的提取
摘要：附加数据段不属于如何一个区块，由于PE文件被映射到内存是按照区块映射的，所以附加数据段是不能被映射到内存的。 附加数据段是在所有区块的最后，用PEiD观察可以发现它有一个OVerload的数据段，如下图：从这个数据可以看出，他的附加数据段在文件位置的的3800处， 同时也可以看出这个PE文件是用UPX加壳了的，脱壳之后会发现，其附加的数据段没有被dump下来，这个时候就需要用十六进制文件去手动去添加。用修正读取附加数据段的指针。
阅读全文
CreateFileA 用法
摘要：Creates or opens a file or I/O device. The most commonly used I/O devices are as follows: file, file stream, directory, physical disk, volume, console buffer, tape drive, communications resource, mailslot, and pipe. The function returns a handle that can be used to access the file or device for var.
阅读全文
