关于 overlay 求助

ttljdboy

有一个游戏    原本是只有一个几M大小的exe  加一个pak数据包文件。  现在是这个游戏的MOD    作者已经把他改成只有一个exe文件的格式    用peid查看  显示是 c++     overlay  原本的配置文件改为了exe的附加数据

1  我通过cheat engine知道了某个物品的代码  比如：4A 45 57 45  会出现在 55D024这个内存地址
2  在OD里面  我发现很多的程序代码一开始是没有的  而是运行一段时间后出来的   并且55D024这里一开始是没有数据的
3  我通过对55D024下硬件断点  追踪是哪里修改了这个地址  可是一步步往前追溯很多次后发现大多都是
                                               7C931226    F3:AB           rep stos dword ptr es:[edi]     或者
               7C921DE6    F3:A5           rep movs dword ptr es:[edi],dword ptr ds:[esi]     这样的语句
               没找到怎么从文件读到内存来的地方
4  我想问下 最早从自身文件把内容读取到内存中的一般是什么api     CreateFileA?   SetFilePointer?  一般有什么特点吗？
5  直接 ue打开exe查找4A 45 57 45 这个字符串是找不到的  所以读取到内存的时候 应该是做了转换的
6  我最终目的是想知道附件数据读取到内存中作了什么转换  从而可以修改exe里面的附加数据 达到修改休息基础数据的目的

应该怎么处理 请大神指点个方向

ttljdboy

@小甲鱼

黑龍

如果只是单纯进行文件操作的话可以试试
ntdll!ZwCreateFile
ntdll!ZwOpenFile