Файл ничем не упакован, в hex editor-е в самом конце секция. Можно ли её как-то просмотреть через olly или узнать адрес начала секции, который отображается в оле. Простите за нубский вопрос)
http://rghost.ru/47167957

| Сообщение посчитали полезным:

Не видит - потому что это не секция PE-файла, а просто Overlay (дописанные данные в конце файла)

| Сообщение посчитали полезным:

Как узнать её адрес?

| Сообщение посчитали полезным:

Сильно сомневаюсь, что загрузчик будет грузить оверлей. Обычно его читают через ReadFile. Ставь бряк на CreateFileA/W и проверяй, чтобы путь к файлу соответствовал пути к самой программе. Так и найдешь обращение к оверлею.

| Сообщение посчитали полезным: Envy12

Я хочу дописать программу, чтобы она писала данные туда.
Нашел 2 вызова CreateFileW. После ReadFile в буфер попадает код с самого начала, а оверлея нету.
После нескольких ReadFile-оф все таки нашел эту секцию)

| Сообщение посчитали полезным:

Envy12 пишет:
Я хочу дописать программу, чтобы она писала данные туда.
туда это в оверлей? если да, то интересно каким образом будет происходить запись. шепните по секрету.

| Сообщение посчитали полезным:

Это невозможно?

| Сообщение посчитали полезным:

Один из вариантов - 1) через драйвер файловой системы, на мой взгляд это будет проще, если не замудрить другие варианты. Чисто теоретически (не рассматривал на практике) можно 2) каким-то образом снять лок с exe-файла или что нередко используется при живых апдейтах 3) каким-то своим образом создавать процесс, чтобы лока не было.

По 1му варианту - это даже некоторые антивири обходит, поскольку минимальная единица для них - файл и файловый монитор сканить начинает только при открытии файла. Детект может быть только по ручному сканированию оперативки, но момент не удастся настолько точно поймать. По 3му - что-то вроде этого(подробно не буду, сами можете доработать):
{
//Настраиваем STARTUPINFO создаваемого любого другого процесса(лучше всего подготовленный наш), чтобы не было видно стартового окна
//В этом нет необходимости, если наш exe подготовлен так, как надо
...
}
CreateProcess(NULL, "notepad.exe", ...); //Процесс может быть любой
WriteProcessMemory(); //перекидываем в память дочернего процесса нужную часть тела родительского процесса
{
//Синхронизируем родительский и дочерний процесссы
...
}
ExitProcess();//Выходим из родительского процесса
{
//Операции записи в exe-файле родительского процесса
...
}

У всех вариантов возможны проблемы с брандмауэром и антиспаями при повторном открытии изменённого файла.

-----
IZ.RU

| Сообщение посчитали полезным:

Я неправильно выразился, я хочу только перехватить данные из секции, изменить их перед использованием. Уже придумал как сделаю, в таблице импорта заменю апи на свою функцию.

| Сообщение посчитали полезным:

Envy12
Перехват API через таблицу импорта:
--> Link <--

| Сообщение посчитали полезным: Envy12