[讨论]PE文件运行依赖的是什么-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[讨论]PE文件运行依赖的是什么

发表于: 2007-11-18 20:43 6362

[讨论]PE文件运行依赖的是什么

icefall

2007-11-18 20:43

6362

把image_dos_header->e_lfanew的数据改变一下，比如加上4 然后在IMAGE_DOS_HEADER和IMAGE_NT_HEADER之间插入4个字节的0，输入输出表、重定位等等相关位置处都加上4，这个文件还能运行吗？
试验了一下，提示"应用程序或DLL为无效的Windows映像。请再检测一遍您的安装盘。"
是否DOS头和NT头必须紧密连接吗？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

#系统底层

收藏・0

免费

支持

最新回复 (2)
kanxue 雪币： 55943 活跃值： (21560) 能力值： (RANK：350 ) 在线值：发帖 2382 回帖 17061 粉丝 573 关注私信	kanxue 8 2 楼是把整个文件都向后移了4字节？当然会有问题了。最简单的，假设原来的.text是0x1000，你一改，可能变成0x1004了。 2007-11-18 22:33 0
icefall 雪币： 154 活跃值： (80) 能力值： ( LV4，RANK：50 ) 在线值：发帖 18 回帖 156 粉丝 0 关注私信	icefall 1 3 楼从PE标志开始处往后移动4位，.text和其它区段名的VA和RA都加4 数据目录中相关的都加4，dll文件这样修改后可以用IDA查看无错，运行就报错 DOS头和NT头可能是必须紧密连接吧？ 2007-11-19 16:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

icefall

发帖

156

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

最新回复 (2)
kanxue 雪币： 55943 活跃值： (21560) 能力值： (RANK：350 ) 在线值：发帖 2382 回帖 17061 粉丝 573 关注私信	kanxue 8 2 楼是把整个文件都向后移了4字节？当然会有问题了。最简单的，假设原来的.text是0x1000，你一改，可能变成0x1004了。 2007-11-18 22:33 0
icefall 雪币： 154 活跃值： (80) 能力值： ( LV4，RANK：50 ) 在线值：发帖 18 回帖 156 粉丝 0 关注私信	icefall 1 3 楼从PE标志开始处往后移动4位，.text和其它区段名的VA和RA都加4 数据目录中相关的都加4，dll文件这样修改后可以用IDA查看无错，运行就报错 DOS头和NT头可能是必须紧密连接吧？ 2007-11-19 16:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

[讨论]PE文件运行依赖的是什么

账号登录 验证码登录

账号登录

验证码登录