-
-
[原创]For菜鸟文章：PE文件格式,qduwg翻译
-
发表于: 2005-12-21 15:50
-
|
|
|---|---|
|
|
不好意思，虽然这是很早的文章，但是kanxue兄建议我的问题还是在这个帖里继续讨论，我只好再叨扰各位了。
本来这个问题很基础，很简单，不应该去骚扰kanxue兄的，可是资质太差，就是不理解，转不过弯来。本文中的PE格式介绍，文字的还行，一旦用编程说明我就晕了。 我的问题是关于简单移动输出表位置，我下面说的都是我的理解，肯定是有问题的，但我不知道在哪，希望大家帮忙分析。  这个图是一个dll文件LordPE截图. 可以看到输出表的位置是0011600,大小是4A,那么假设我想把输出表移动到11700的话，是不是仅仅把这里改掉，然后把内容复制过去就可以了呢？ 那些AddressofFunctions,AddressofNames等等的地址需要改动么？ 那个函数ToDo的地址需要改么？ToDo这个名称如果更改，十六进制里面对应的ToDo要不要改呢？6660这个RAV要怎么改。 这是手工操作，我是对照着位置复制的，就是输出表位置改到11700,然后把Addressof的那些地址相应改动到新位置的地址，最后结果，dll功能失效了。 然后，我尝试另一种操作，就是用kanxue的PeMove直接移动输出表，我的理解是，在PeMove里面输入原File offset 11600,输入重定位的地址11700,那么输出表就应该从11600移动到11700,结果却不是。 我对比了一下前后文件的不同，发现PeMove移动的不是11600的东西，却是15000位置的内容。所以我这里又不是很理解了，见下图。  图是点击LordPE的 H 按钮，也就是十六进制出来的，描黑部分是自动选中的，我想请问，这部分是不是全部的输出表？ 大小正是4A. 如果是，为啥PeMove不是移动的这里呢。  关键是，PeMove移动后的文件也是失去功能了，不知道是不是我操作的问题。我可能说的很繁琐，也可能没说道点子上，不过这就是我不理解的地方，底子差，很多东西看不懂，只能从笨处下手了。 谢谢楼主和kanxue，谢谢各位。 |
|
|
|
|
|
|
|
|
谢谢了!非常感谢!厉害,厉害!
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
收了，收了，有的学了
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
