[讨论]PE文件运行依赖的是什么-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[讨论]PE文件运行依赖的是什么

2007-11-18 20:43 5772

[讨论]PE文件运行依赖的是什么

icefall

2007-11-18 20:43

5772

把image_dos_header->e_lfanew的数据改变一下，比如加上4 然后在IMAGE_DOS_HEADER和IMAGE_NT_HEADER之间插入4个字节的0，输入输出表、重定位等等相关位置处都加上4，这个文件还能运行吗？
试验了一下，提示"应用程序或DLL为无效的Windows映像。请再检测一遍您的安装盘。"
是否DOS头和NT头必须紧密连接吗？

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

#系统底层

收藏・0

点赞・0

打赏

最新回复 (2)
kanxue 雪币： 32401 活跃值： (18905) 能力值： (RANK：350 ) 在线值：发帖 2360 回帖 17010 粉丝 491 关注私信	kanxue 8 2007-11-18 22:33 2 楼 0 是把整个文件都向后移了4字节？当然会有问题了。最简单的，假设原来的.text是0x1000，你一改，可能变成0x1004了。
icefall 雪币： 154 活跃值： (70) 能力值： ( LV4，RANK：50 ) 在线值：发帖 18 回帖 156 粉丝 0 关注私信	icefall 1 2007-11-19 16:53 3 楼 0 从PE标志开始处往后移动4位，.text和其它区段名的VA和RA都加4 数据目录中相关的都加4，dll文件这样修改后可以用IDA查看无错，运行就报错 DOS头和NT头可能是必须紧密连接吧？
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复

icefall

发帖

156

回帖

RANK

关注

私信

他的文章

[求助]DES变异算法？

[求助]PsCreateSystemThread Hook过程中传入的参数结构

[原创]Sdemo加密录像密码解密

[讨论]PE文件运行依赖的是什么

[原创]XXPack 0.1(UnpackMe)的脱壳

关于我们

联系我们

企业服务

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

最新回复 (2)
kanxue 雪币： 32401 活跃值： (18905) 能力值： (RANK：350 ) 在线值：发帖 2360 回帖 17010 粉丝 491 关注私信	kanxue 8 2007-11-18 22:33 2 楼 0 是把整个文件都向后移了4字节？当然会有问题了。最简单的，假设原来的.text是0x1000，你一改，可能变成0x1004了。
icefall 雪币： 154 活跃值： (70) 能力值： ( LV4，RANK：50 ) 在线值：发帖 18 回帖 156 粉丝 0 关注私信	icefall 1 2007-11-19 16:53 3 楼 0 从PE标志开始处往后移动4位，.text和其它区段名的VA和RA都加4 数据目录中相关的都加4，dll文件这样修改后可以用IDA查看无错，运行就报错 DOS头和NT头可能是必须紧密连接吧？
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复