使用010进行手动加壳

删除PE_Overlay

找到最后一个节的区块，在那之后的数据全部删除掉。
其实不删掉也行，不过学习起来的时候就不方便区别最后一个节和Overlay了。

网上有资料说PE_Overlay指PE结构的最后一个节的末尾位置，通常用于存储自定义资源

[!NOTE]
PE结构的基础上，增加了处理逻辑代码+自定义的资源

PE_Overlay指PE结构的最后一个节的末尾位置，通常用于存储自定义资源

PE结构的最后一个节末尾+1个字节的位置就是OverLay的起点。（last_section.Raw_offset + last_section.Raw_size） = Overlay;

PE_Overlay指的是PE（Portable Executable）文件格式中的Overlay ，它是PE文件的最后一个节（section）的末尾位置之后的额外数据。 在PE文件加载时，操作系统会将整个文件映射到内存中，其中Overlay部分通常被忽略。这部分数据可以用于存储任意类型的自定义资源，例如图像、音频、配置文件等，而不影响PE文件的正常执行。

Overlay的存在可以让开发者在不修改PE文件的基本结构的情况下，向其添加额外的数据。这对于包含了大量资源或者需要动态更新的程序来说非常有用。在安装包中，Overlay常常被用来存储自定义资源，例如软件的图标、帮助文件、配置文件等等。虽然Overlay不是PE文件的必需部分，但它为软件开发者提供了一个便捷的方式来扩展程序的功能。

关闭随机基址

将1改为0

添加节表

插入节表空间

在最后一个节表的地方插入n个字节大小的区域，这一块区域是为了写节表
这个n是参考 NT头的可选文件头里的FileAlignment的，如果是0x200就插入0x200个字节
快捷键：{Ctrl+Shift+I}

然后第一个节到最后一个节的PointerToRawData添加0x200，即节在磁盘文件上的偏移
如：400h->600h

Tips：如果想要插入的节表的空间足够0x28，那么就不用插入了，可以直接覆盖数据。
但是我编译出来的HelloWorld是需要插入了，就拿HelloWorld.exe学习了。

修改节的数量

NT头--文件头--节的数量：15改成16

修改SizeOfHeader

SizeOfHeaders是DOS头+PE头+区块表的总大小，后面的区块表更新了，所以这个也要更新的来着。
400h->600h

修改插入的节表的数据

参照着上面的填，
节表名字取名为.custom
union：实际使用的区块大小，该值可以不准确，所以申请了多少填多少，主要看壳代码的大小，学习示例申请1000h
VirtualAddresss：装载到内存中的RVA，这个要参照页对齐大小(在NT头的可选文件头里SectionAlignment)，是0x1000h，所以在虚拟内存中，上一个表的0x11000+0x200=0x11200会对齐为0x12000h
SizeOfRawData：1000h，参考union，主要看壳代码的大小
PointerToRawData：6A00h，在磁盘文件中的偏移，上一个表的0x6800h+0x200h计算得到的
在节表最后的地方对Characteristics进行修改，修改可读可写可执行权限：0h->1h