分类: PE

6 篇文章

PE格式分析_6(IMAGE_SECTION_HEADER)
节表( IMAGE_SECTION_HEADER ) 作用:描述PE文件与内存之间的映射关系,说明PE文件的指定内容拷贝至内存的哪个位置、拷贝大小及内存属性的设置。 一个结构体总大小: 0x 28 (40) 字节 节表位置: 置于选项头之后,位置 = 选项头( IMAGE_OPTIONAL_HEADER) 的地址 + 选项头( IMAGE_OPTIONAL_HEADER)的…
PE格式分析_5(IMAGE_OPTIONAL_HEADER)
IMAGE_OPTIONAL_HEADER typedef struct _IMAGE_OPTIONAL_HEADER { WORD Magic; // 判断32位0x10b,64位0x20b BYTE MajorLinkerVersion; // 主链接器版本号,仅供参考 BYTE MinorLinkerVersion; // 副链接器版本号,仅供参考 //系统分配内存不…
PE格式分析_4(PE查看工具(010_Editor))
www.010Editor.com 查看PE的工具 winhex 这个功能很强大,但是查看文件结构不方便,可以写脚本来告诉编辑器如何解析,脚本语言是winhex的特定语言; 010_Editor 功能和winhex同样强大,这个也可以写脚本,脚本语言是C语言,因此这个工具会更加方便; 举例: myPE.BT 直接拖到 010_Editor里来写 步骤: vs中的结构体直接拷…
PE格式分析_3(IMAGE_FILE_HEADER)
pe格式代码,分析PE header #include <stdio.h> #include <Windows.h> //#include <winnt.h> // 定义了pe结构体的所有成员 int main() { /******************************* Dos header ****************…
PE格式分析_2
编写最小的PE文件 在Windows上新建一个minPE.asm文件,使用vs的x86 Native Tools Command Prompt for VS 2019来编译 使用编译脚本 build.bat ml /c minPE.asm link /entry:START /subsystem:windows /merge:.rdata=.text /ALIGN:16 m…
PE格式分析_1
PE历史简介: portable excute 可移植的,可执行的文件(exe、dll) Microsoft最开始做的Dos系统,开头是MZ标识,又叫MZ系统(这tm是个人名,碉堡了),是16位操作体统。 Microsoft后开开发了Windows NT系统,最大的特点是桌面,是32位操作系统。 那么文件格式需要重新设计,出现了PE,希望一统江湖,考虑了所有的操作系统厂家,…