有很多时候我们脱壳完一个软件,用IR进行修复后,还是不能使用会弹出"Invalid data in the file",这时可能我们所脱的软件含有附加数据,其实有时候我们用PEID之类的软件查壳的时候也会出现[Overlay]*,这说明软件可能有附加数据,这时有需要对附加数据进行处理了,以下是我总结的处理附加数据的方法,有不足之处,希望大牛们能给点指点,谢谢!
一、用LordPe点"PE编辑器"载入修复后的程序
二、打开区段(section),在打开的区段表中,找到最后一个区段把"ROffset"和"RSize"地址相加,注意要使用十六进制计算机计算
三、用WinHex或(Hex Workshop)打开未脱壳的原程序,定位到刚才相加得到的地址处,然后将以行以下的数据全部复制到剪切板中
四、再打开已经脱壳修复的程序,定位到最后一空白行,将剪切板中的数据粘贴到时面,然后保存即可!