附加数据[overlay]：
附加数据是在附加在文件后面的，不被映射到内存空间中的数据，overlay是不映射到内存的，所以dump下来的时候是没有overlay的，需要我们手动把这一部分的数据粘贴到dump下来的数据后面。
处理附加数据：
原理：由于文件的对齐机制，磁盘上每个段的结束都填充了大量的0.附加数据在文件末尾，所以只要找到磁盘文件中最后一个全零段，接下来就是附加数据。
实验步骤：
首先运行程序,可以正常运行。
PEiD 查壳，发现被加了nSPack壳，后面有显示【Overlay】，表示有附加数据。
放入OD里脱壳，开头是pushfd和pushad入栈，后面的出栈命令肯定是popad和popfd，所以 右键，搜索命令序列，输入“popad popfd”，点击查找。
找到该命令序列后，在出栈命令处下断点，先运行到断点处，再单步运行到OEP。脱壳保存。
对脱壳后的文件进行修复：“附加到一个活动进程”—>OEP窗口输入正确的OEP—>“IAT自动搜索”—>“获取导入表”—>“显示无效的”—>“修正转储”。
运行程序，报错。
用WinHex打开还未脱壳的程序，拉到底，从最下方开始向上查找第一段全零数据
把附加数据复制粘贴到脱壳以后的文件中，保存
脱壳后程序：
复制粘贴后：
运行程序，成功