首页
社区
课程
招聘
[讨论]学习PE格式遇到的奇怪问题
发表于: 2008-5-13 16:49 5008

[讨论]学习PE格式遇到的奇怪问题

2008-5-13 16:49
5008
最近学习PE格式,发现一些很奇怪的文件,比如暴风的安装文件,还有一些......
它们最后一个节的PointerToRawData + SizeOfRawData却远小于它文件的大小,这里面难道还有其它隐藏的东西吗?
各位大牛帮忙...

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (4)
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
学PE没多久,说点我的看法。安装程序大多数是象你说的这样的。可以看成是一个可执行文件和一大堆被压缩过的数据放在一个PE文件里面,PE运行后把连接在后面的数据解压出来放到特定的地方,这就算是安装了。PE运行的时候只检查最后一个节的PointerToRawData + SizeOfRawData不大于文件总长度(这里的文件总长度用GetFileInformationByHandle获得)
2008-5-14 17:11
0
雪    币: 2134
活跃值: (14)
能力值: (RANK:170 )
在线值:
发帖
回帖
粉丝
3
可以参考论坛的加密解密内幕,里面提到:、
某些特殊的PE文件在各个区块后还有一些额外的数据,这些数据不属于任何区段,该段数据不由转载器载入内存,而是程序自己读取的。
向你说的暴风的安装文件等打包过的文件,前面的仅为一些解压之类的功能,真正的文件由后面的数据解压出来的。
2008-5-14 18:09
0
雪    币: 248
活跃值: (42)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
谢谢楼上两位大牛!
2008-5-15 13:52
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
应该是附加数据,直接拼在程序后面的。
好像 flash生成的exe也是这样的。
2008-5-15 14:05
0
游客
登录 | 注册 方可回帖
返回
//