前几天看了一篇文章,关于overlay介绍的,里面说可以实现记事本打开单一文本，所以自己手痒就想试试.
我的第一步是让记事本程序在打开时，自动读取已经存在的文本文件.
大家都很清楚双击文本文件程序会自己用记事本打开,这说明这个文件名被当作参数传递给了记事本.
例如: notepad.exe C:\QQ600.txt

接下来我们要做的就是获取那个参数的位置,然后修改,实现自己的功能。

ollydbg载入程序notepad,选择菜单Debug>>Attachment，输入参数C:\QQ600.txt，提示重新载入程序,参数才会生效。[不理他,等下面设置了端点后,再重新载入]
要想获取参数的位置,必须要对程序下断点,文件读取一般会在CreateFile,ReadFile等上下断点

利用快捷键Ctrl+N,查看程序的函数,看到了CreateFileW,下面对他断点,在命令栏中输入bpx CreateFileW，Ctrl+F2重新载入程序,重新载入程序后F9运行，在01004A07处程序被断下来，查看一下寄存器与堆栈,你会发现edi中存放的值与参数值完全一致.
那么现在我们要搞清楚的就是edi在何时被赋值的

010049CE    6A 10                     push 10
010049D0    FF35 30980001             push dword ptr ds:[1009830]
010049D6    FF15 A4120001             call dword ptr ds:[<&USER32.PostMessageW>; USER32.PostMessageW
010049DC    E9 77010000               jmp NOTEPAD-.01004B58
010049E1    66:391F                   cmp word ptr ds:[edi],bx
010049E4    0F84 B1000000             je NOTEPAD-.01004A9B
010049EA    57                        push edi
010049EB    BF 00A90001               mov edi,NOTEPAD-.0100A900                ; UNICODE "C:\QQ600.txt"
010049F0    57                        push edi
010049F1    E8 A3F5FFFF               call NOTEPAD-.01003F99
010049F6    53                        push ebx
010049F7    68 80000000               push 80
010049FC    6A 03                     push 3
010049FE    53                        push ebx
010049FF    6A 03                     push 3
01004A01    68 00000080               push 80000000
01004A06    57                        push edi
01004A07    FF15 04110001             call dword ptr ds:[<&KERNEL32.CreateFile>; kernel32.CreateFileW

大家看到了吗?在010049EB处对edi赋值,edi的值来源于0100A900处
010049EB    BF 00A90001               mov edi,NOTEPAD-.0100A900                ; UNICODE "C:\QQ600.txt"

也许大家已经想到了将0100A900处的数据改为自己的数据,但是修改完了你会发现数据无法保存，在这里我就不介绍怎么保存数据了.
0100A900处修改后无法保存,那么我们就将0100A900的地址指到其他可以保存数据的位置.例如0100874E
010049EB    BF 00A90001               mov edi,NOTEPAD-.0100A900                ; UNICODE "C:\QQ600.txt"
修改后
010049EB    BF 4E870001               mov edi,NOTEPAD-.0100874E         ; UNICODE "C:\QQ600.txt"

然后在0100874E处写入自己的参数数据,程序调试完成后，双击运行程序,你会发现程序打开后,并没有读取C:\QQ600.txt的数据.
不要急,程序能够正常运行而没有出现错误,这说明调试没有出错,可能调试的代码没有生效，

Ollydbg载入调试过的程序,Debug>>Attachment，输入"C:\QQ600.txt"，对函数CreateFileW下断点,F9运行,程序在01004A07处被断下,
调试过的部分上面有几处跳转,其中有一个是跳过调试代码,我们在他前面下断，我选择010049C8，然后重新载入程序,F9运行，在010049C8处程序被断下来,现在开始F8单步向下分析一下跳转是否实现了

分析后大家,只需让010049E4处的跳转不实现就可以了
。

=====================================================

建议大家自己分析一下程序参数是如何传递到edi中的
在这里留个问题吧，希望能够刺激大家努力学习!

将文本的数据添加到记事本程序的尾部,然后每次打开程序时自动读取尾部的数据

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！