首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[讨论]PE文件运行依赖的是什么
发表于: 2007-11-18 20:43 6194

[讨论]PE文件运行依赖的是什么

icefall 活跃值
1
2007-11-18 20:43
6194
把image_dos_header->e_lfanew的数据改变一下，比如加上4 然后在IMAGE_DOS_HEADER和IMAGE_NT_HEADER之间插入4个字节的0，输入输出表、重定位等等相关位置处都加上4，这个文件还能运行吗？
试验了一下，提示"应用程序或DLL为无效的Windows映像。请再检测一遍您的安装盘。"
是否DOS头和NT头必须紧密连接吗？

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (2)
kanxue
雪    币： 47147
活跃值： (20460)
能力值： (RANK：350 )
在线值：
发帖
回帖
粉丝
私信
2 楼
是把整个文件都向后移了4字节？
当然会有问题了。
最简单的，假设原来的.text是0x1000，你一改，可能变成0x1004了。
2007-11-18 22:33
0
icefall
雪    币： 154
活跃值： (80)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
3 楼
从PE标志开始处往后移动4位，.text和其它区段名的VA和RA都加4 数据目录中相关的都加4，dll文件这样修改后可以用IDA查看无错，运行就报错 DOS头和NT头可能是必须紧密连接吧？
2007-11-19 16:53
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//