[原创]PE 文件格式启发式学习(以hello.exe 为例)（5.15更新）-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (88) ◀ 1 2 3 4 ▶
olsxh 雪币： 1072 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 101 粉丝 0 关注私信	olsxh 51 楼这种教学方法满不错的，设计的多数问题都是大家要问的！！谢谢了！！ 2008-6-16 12:57 0
fulee 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	fulee 52 楼不错，很详细！ 2008-6-17 10:22 0
ljfhacker 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	ljfhacker 53 楼好东西啊！～～～～～～ 2008-6-17 14:14 0
wowzjj 雪币： 205 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 39 粉丝 0 关注私信	wowzjj 54 楼从RVA 到 OFFSET, 我们好像还没有讲呢，就在这里补上吧。从RVA 到 OFFSET 没有一个简单的公式，唯一的办法就是查表。查什么表，查section header 表。已hello.exe 为例，我们查表，看到205c 落入.rdata 节，该节的虚拟地址（就是内存地址）0x2000 对应文件偏移0600，那么205c, 则对应文件偏移的065c. 能详细讲解一下是怎么换算来的吗？ 2008-6-20 19:17 0
zlty 雪币： 218 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	zlty 55 楼同样疑惑看到205c 落入.rdata 节，该节的虚拟地址（就是内存地址）0x2000 对应文件偏移0600，那么205c, 则对应文件偏移的065c. 2008-6-20 20:00 0
glueshred 雪币： 191 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 45 粉丝 0 关注私信	glueshred 56 楼看得我头都大了。呵呵。。先休息下。。。 2008-6-21 16:48 0
金子jinzi 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 15 粉丝 1 关注私信	金子jinzi 57 楼支持啊好东西谢谢了啊 2008-6-25 08:37 0
迷茫小猪雪币： 193 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 49 回帖 151 粉丝 0 关注私信	迷茫小猪 58 楼能否最最基础的开始啊？ 2008-6-25 10:51 0
xjmengkx 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	xjmengkx 59 楼多谢老大的辛苦劳动 2008-6-28 10:19 0
zywen 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 24 粉丝 0 关注私信	zywen 60 楼不错的东西,适合我这样的菜鸟~! 2008-7-5 12:06 0
awshome 雪币： 203 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 34 粉丝 0 关注私信	awshome 61 楼不错，我又学了一遍。巩固了一下！ 2008-7-5 17:21 0
singyys 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	singyys 62 楼谢谢,学习了 2008-7-9 16:10 0
lixupeng 雪币： 563 活跃值： (95) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 1636 粉丝 0 关注私信	lixupeng 63 楼好文章学习 2008-7-9 19:25 0
wlkcrq 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 29 粉丝 0 关注私信	wlkcrq 64 楼不错，很生动！！ 2008-7-11 02:09 0
awshome 雪币： 203 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 34 粉丝 0 关注私信	awshome 65 楼楼主这里说的不好,地址600的位置应该是IAT目录(IMAGE_DATA_DERECTORY中第13个)指向的位置.刚好是16字节.IAT表是可以补PE加载器修改的.会用真实的函数地址替换. 楼主应该结合IAT讲给大家.这样比较好懂. 2008-7-11 15:23 0
学编程雪币： 163 活跃值： (1623) 能力值： ( LV5，RANK：60 ) 在线值：发帖 30 回帖 441 粉丝 2 关注私信	学编程 1 66 楼好帖,对PE有点认识了. 2008-7-12 11:10 0
fugue 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 35 粉丝 0 关注私信	fugue 67 楼很好，慢慢学习 2008-7-16 23:13 0
发xing 雪币： 239 活跃值： (10) 能力值： ( LV3，RANK：30 ) 在线值：发帖 4 回帖 73 粉丝 0 关注私信	发xing 68 楼感谢楼主的分享,我收藏起来好好看 2008-7-17 19:33 0
tiegux 雪币： 242 活跃值： (26) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	tiegux 69 楼谢谢楼主的工作保存下来慢慢看 2008-8-30 20:59 0
jhwl 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	jhwl 70 楼说的很详细，不错的教程 2009-1-9 16:28 0
howdyhappy 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 33 粉丝 0 关注私信	howdyhappy 71 楼先收藏，再慢慢看 2009-1-9 23:24 0
轩辕剑syz 雪币： 154 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 44 粉丝 0 关注私信	轩辕剑syz 72 楼呵呵，还是有点难呢，之前我还该看什么呢？ 2009-1-26 02:41 0
zm马萧雪币： 100 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	zm马萧 73 楼感谢楼主的无私奉献，PE这块知识，我已经看了不少，但都不太明白。。。你的讲解让我收获不少 2009-2-21 18:38 0
rerefrancd 雪币： 314 活跃值： (271) 能力值： ( LV4，RANK：50 ) 在线值：发帖 7 回帖 153 粉丝 5 关注私信	rerefrancd 1 74 楼加油看，！在 2009-10-9 15:06 0
softwin 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	softwin 75 楼谢谢！！！！！！ 2010-3-8 16:26 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (88) ◀ 1 2 3 4 ▶
olsxh 雪币： 1072 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 101 粉丝 0 关注私信	olsxh 51 楼这种教学方法满不错的，设计的多数问题都是大家要问的！！谢谢了！！ 2008-6-16 12:57 0
fulee 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	fulee 52 楼不错，很详细！ 2008-6-17 10:22 0
ljfhacker 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	ljfhacker 53 楼好东西啊！～～～～～～ 2008-6-17 14:14 0
wowzjj 雪币： 205 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 39 粉丝 0 关注私信	wowzjj 54 楼从RVA 到 OFFSET, 我们好像还没有讲呢，就在这里补上吧。从RVA 到 OFFSET 没有一个简单的公式，唯一的办法就是查表。查什么表，查section header 表。已hello.exe 为例，我们查表，看到205c 落入.rdata 节，该节的虚拟地址（就是内存地址）0x2000 对应文件偏移0600，那么205c, 则对应文件偏移的065c. 能详细讲解一下是怎么换算来的吗？ 2008-6-20 19:17 0
zlty 雪币： 218 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	zlty 55 楼同样疑惑看到205c 落入.rdata 节，该节的虚拟地址（就是内存地址）0x2000 对应文件偏移0600，那么205c, 则对应文件偏移的065c. 2008-6-20 20:00 0
glueshred 雪币： 191 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 45 粉丝 0 关注私信	glueshred 56 楼看得我头都大了。呵呵。。先休息下。。。 2008-6-21 16:48 0
金子jinzi 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 15 粉丝 1 关注私信	金子jinzi 57 楼支持啊好东西谢谢了啊 2008-6-25 08:37 0
迷茫小猪雪币： 193 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 49 回帖 151 粉丝 0 关注私信	迷茫小猪 58 楼能否最最基础的开始啊？ 2008-6-25 10:51 0
xjmengkx 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	xjmengkx 59 楼多谢老大的辛苦劳动 2008-6-28 10:19 0
zywen 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 24 粉丝 0 关注私信	zywen 60 楼不错的东西,适合我这样的菜鸟~! 2008-7-5 12:06 0
awshome 雪币： 203 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 34 粉丝 0 关注私信	awshome 61 楼不错，我又学了一遍。巩固了一下！ 2008-7-5 17:21 0
singyys 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	singyys 62 楼谢谢,学习了 2008-7-9 16:10 0
lixupeng 雪币： 563 活跃值： (95) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 1636 粉丝 0 关注私信	lixupeng 63 楼好文章学习 2008-7-9 19:25 0
wlkcrq 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 29 粉丝 0 关注私信	wlkcrq 64 楼不错，很生动！！ 2008-7-11 02:09 0
awshome 雪币： 203 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 34 粉丝 0 关注私信	awshome 65 楼楼主这里说的不好,地址600的位置应该是IAT目录(IMAGE_DATA_DERECTORY中第13个)指向的位置.刚好是16字节.IAT表是可以补PE加载器修改的.会用真实的函数地址替换. 楼主应该结合IAT讲给大家.这样比较好懂. 2008-7-11 15:23 0
学编程雪币： 163 活跃值： (1623) 能力值： ( LV5，RANK：60 ) 在线值：发帖 30 回帖 441 粉丝 2 关注私信	学编程 1 66 楼好帖,对PE有点认识了. 2008-7-12 11:10 0
fugue 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 35 粉丝 0 关注私信	fugue 67 楼很好，慢慢学习 2008-7-16 23:13 0
发xing 雪币： 239 活跃值： (10) 能力值： ( LV3，RANK：30 ) 在线值：发帖 4 回帖 73 粉丝 0 关注私信	发xing 68 楼感谢楼主的分享,我收藏起来好好看 2008-7-17 19:33 0
tiegux 雪币： 242 活跃值： (26) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	tiegux 69 楼谢谢楼主的工作保存下来慢慢看 2008-8-30 20:59 0
jhwl 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	jhwl 70 楼说的很详细，不错的教程 2009-1-9 16:28 0
howdyhappy 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 33 粉丝 0 关注私信	howdyhappy 71 楼先收藏，再慢慢看 2009-1-9 23:24 0
轩辕剑syz 雪币： 154 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 44 粉丝 0 关注私信	轩辕剑syz 72 楼呵呵，还是有点难呢，之前我还该看什么呢？ 2009-1-26 02:41 0
zm马萧雪币： 100 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	zm马萧 73 楼感谢楼主的无私奉献，PE这块知识，我已经看了不少，但都不太明白。。。你的讲解让我收获不少 2009-2-21 18:38 0
rerefrancd 雪币： 314 活跃值： (271) 能力值： ( LV4，RANK：50 ) 在线值：发帖 7 回帖 153 粉丝 5 关注私信	rerefrancd 1 74 楼加油看，！在 2009-10-9 15:06 0
softwin 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	softwin 75 楼谢谢！！！！！！ 2010-3-8 16:26 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复