-
-
[求助]PE文件修改后加载到内存中偏移了4字节
-
发表于: 2014-9-18 12:13
-
我写了个壳，将入口地址代码处20字节之内的代码转移到壳中，然后在入口写入jmp ...
其他的文件测试都可以，就是有一个文件不行，用OD载入后我发现，jmp后面的地址处向前偏移了4字节
但是用PEID查看hex吗，发现并并没有偏移
只要用OD载入内存就会向前偏移4字节
郁闷中……
昨天晚上加班到很晚，到家后把内存中最后两个节的内容dump出来了，然后跟文件中最后两个节做了对比，发现，最后一个节的开头多了4字节的 00 00 00 00 ，然后又找上一个节，发现上一个节的VirtualSize的大小为12004，加载进内存对齐后为13000，于是最后的4字节被挤到下一节去了，所以下一节在内存中多了上一节的最后4字节，但是不是很理解啊，对齐后为什么把最后的4字节挤到下一节去了呢？
其他的文件测试都可以，就是有一个文件不行，用OD载入后我发现，jmp后面的地址处向前偏移了4字节
但是用PEID查看hex吗，发现并并没有偏移
只要用OD载入内存就会向前偏移4字节
郁闷中……
昨天晚上加班到很晚，到家后把内存中最后两个节的内容dump出来了，然后跟文件中最后两个节做了对比，发现，最后一个节的开头多了4字节的 00 00 00 00 ，然后又找上一个节，发现上一个节的VirtualSize的大小为12004，加载进内存对齐后为13000，于是最后的4字节被挤到下一节去了，所以下一节在内存中多了上一节的最后4字节，但是不是很理解啊，对齐后为什么把最后的4字节挤到下一节去了呢？
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
