关于PE文件格式的疑问-经典问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (5)
Naylon 雪币： 227 活跃值： (66) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 147 粉丝 2 关注私信	Naylon 2 2 楼通常静态存储在磁盘上未加载的可执行文件叫PE文件(exe,dll,ocx,sys都是，但是加载机制不同) 映射到内存之后叫映像(Image) 因为内存对齐的缘故，内存映像的PE格式和磁盘上的格式会有所不同（主要是相对虚拟地址RVA不一样，还有IAT什么的在映射时会由PELauncher修正），所以在自己解析PE时要分解析静态文件和解析内存映像两部分给你搜了2篇参考文章，主要是RVA与OFFSET之间的转换，个人认为学习PE时这个是比较重要的知识点： LiXMX,《【原创】我自己的PE文件RVA-VA-Offset心得……》 fantcy,《PE格式深入浅出之RAV,AV,ImageBase之间的关系》 2012-1-24 21:42 0
mumaren 雪币： 71 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 48 回帖 659 粉丝 0 关注私信	mumaren 3 楼就像这样的，我想知道的是，这样的PE文件格式是指已经运行的，还是在硬盘上躺着没运行的呢？谢谢上传的附件：未命名.jpg （23.30kb，60次下载） 2012-1-24 22:33 0
Naylon 雪币： 227 活跃值： (66) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 147 粉丝 2 关注私信	Naylon 2 4 楼 [QUOTE=mumaren;1040102] 就像这样的，我想知道的是，这样的PE文件格式是指已经运行的，还是在硬盘上躺着没运行的呢？谢谢[/QUOTE] 不管运行没运行，PE大体布局都是这样的但是加载之后相对偏移有区别 2012-1-24 23:11 0
mumaren 雪币： 71 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 48 回帖 659 粉丝 0 关注私信	mumaren 5 楼奥，明白了，分给你我认识你，你在vb吧和老马的紫水晶都有不错的表现 2012-1-24 23:58 0
Naylon 雪币： 227 活跃值： (66) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 147 粉丝 2 关注私信	Naylon 2 6 楼呃?你百度id是啥? 2012-1-25 09:59 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (5)
Naylon 雪币： 227 活跃值： (66) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 147 粉丝 2 关注私信	Naylon 2 2 楼通常静态存储在磁盘上未加载的可执行文件叫PE文件(exe,dll,ocx,sys都是，但是加载机制不同) 映射到内存之后叫映像(Image) 因为内存对齐的缘故，内存映像的PE格式和磁盘上的格式会有所不同（主要是相对虚拟地址RVA不一样，还有IAT什么的在映射时会由PELauncher修正），所以在自己解析PE时要分解析静态文件和解析内存映像两部分给你搜了2篇参考文章，主要是RVA与OFFSET之间的转换，个人认为学习PE时这个是比较重要的知识点： LiXMX,《【原创】我自己的PE文件RVA-VA-Offset心得……》 fantcy,《PE格式深入浅出之RAV,AV,ImageBase之间的关系》 2012-1-24 21:42 0
mumaren 雪币： 71 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 48 回帖 659 粉丝 0 关注私信	mumaren 3 楼就像这样的，我想知道的是，这样的PE文件格式是指已经运行的，还是在硬盘上躺着没运行的呢？谢谢上传的附件：未命名.jpg （23.30kb，60次下载） 2012-1-24 22:33 0
Naylon 雪币： 227 活跃值： (66) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 147 粉丝 2 关注私信	Naylon 2 4 楼 [QUOTE=mumaren;1040102] 就像这样的，我想知道的是，这样的PE文件格式是指已经运行的，还是在硬盘上躺着没运行的呢？谢谢[/QUOTE] 不管运行没运行，PE大体布局都是这样的但是加载之后相对偏移有区别 2012-1-24 23:11 0
mumaren 雪币： 71 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 48 回帖 659 粉丝 0 关注私信	mumaren 5 楼奥，明白了，分给你我认识你，你在vb吧和老马的紫水晶都有不错的表现 2012-1-24 23:58 0
Naylon 雪币： 227 活跃值： (66) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 147 粉丝 2 关注私信	Naylon 2 6 楼呃?你百度id是啥? 2012-1-25 09:59 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复