PE文件头常用字段总结
来源:互联网 发布:qqiphone6s在线软件 编辑:程序博客网 时间:2024/06/07 22:53
文件头 3Ch偏移处:PE文件头的地址
PE文件头28h偏移处:入口点的RVA
2Ch:代码段RVA
30h处:data段RVA
34h处:默认装入地址
38h,3Ch:内存中alignment(一般为1000h,一页),文件中alignment(一般为200h)
50h:image尺寸
78h:数据目录表开始
目录表结构: 8bytes,DWORD 保存起始RVA,DWORD保存 数据表长度
80h:输入表的目录表
输入表的IID结构: 5个DWORD,第一个OriginFirstThunk,最后一个FirstThunk,分别指向INT和IAT,都是IMAGE_HTUNK_DATA数组
IMAGE_THUNK_DATA:1个DWORD的union,一般为表示函数名字符串的RVA,或直接为函数地址
函数名字符串:IMAGE_IMPORT_BY_NAME:WORD hint(2字节)+ ascII 串
在OEP处设段,抓取的dump映像里面,IAT已经被外壳填充为真实的输入函数地址,所以要重构输入表,把他还原为INT的形式,运行时由PE加载器去枚举INT,获取真正的输入函数地址,填充IAT
A0h:重定位表的目录表
重定位表结构: DWORD 起始RVA,DWORD 数据长度,WORD数组,偏移值 。重定位表一般按页面组织
起始RVA+偏移值低12位=要重定位的地址的RVA,起始RVA一般为1000h,因为要重定位的基本都是代码段里面的直接地址引用之类。 一般只有DLL要用到重定位表,EXE都能加载到预定地址0x400000
- PE文件头常用字段总结
- PE总结3---PE文件结构DOS文件头
- PE总结4---PE文件结构NT头
- PE总结5---PE文件结构NT头之文件头--IMAGE_FILE_HEADER
- PE总结 - DOS文件头、PE文件头、节表和表详解
- PE总结6---PE文件结构NT头之扩展头--IMAGE_OPTIONAL_HEADER
- 遍历PE文件头。
- PE文件头
- PE文件头
- PE文件头
- PE文件头
- PE 头文件 IMAGE_NT_HEADER
- PE文件头结构
- PE文件头IGMAGE_NT_HEADERS
- Linux常用头文件总结
- C++常用头文件总结
- PE文件结构(PE文件头一)
- PE文件结构(PE文件头二)
- 《Red5 用户参考手册》之五:入门第四章 Red5 的类库
- c++默认实参 省略实参
- ==和equals()区别(操作符==与对象equals方法的不同)
- HTML 标签 介绍
- 一步一步学JBPM(2)——JPDL流程定义语言
- PE文件头常用字段总结
- Cisco Debug 调试命令
- VM VirtualBox 加 SecureCRT 本机套件组合
- 保存BLOB类型报java.lang.ClassCastException: oracle.sql.BLOB 的解决办法
- xmu 1229.Sherwood算法——二叉排序树
- ext2.0.2表单提交中回调函数形参action太坑爹了
- MyBatis属性配置
- Android WebView删除缓存
- 创建网格状的RadioGroup