首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 经典问答
    3. 发新帖
[求助]pe在内存中的存储顺序
发表于: 2009-2-3 16:05 3275

[求助]pe在内存中的存储顺序

DragonC 活跃值
2009-2-3 16:05
3275
pe到底是这样还是像教程3中那样的啊？还是都可以？

PE文件结构(简化):
　　-----------------
　　│1,DOS MZ header│
　　-----------------
　　│2,DOS stub │
　　-----------------
　　│3,PE header │
　　-----------------
　　│4,Section table│
　　-----------------
　　│5,Section 1 │
　　-----------------
　　│6,Section 2 │
　　-----------------
　　│ Section ... │
　　-----------------
　　│n,Section n │

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

收藏
免费 ・0
支持
分享
最新回复 (5)
攀登蜗牛
雪    币： 209
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
你用 WINHEX 打开一个看看   马上明白
2009-2-3 16:39
0
书呆彭
雪    币： 2110
活跃值： (21)
能力值： (RANK：260 )
在线值：
发帖
回帖
粉丝
私信
3 楼
你说的教程3是什么？

用Stud_PE等工具打开一个文件，可以查看文件的结构；用OD载入一个程序后，ALT+M切换到内存映射窗口，可以查看文件映射到内存中的状况。

大体上，一个程序的内存镜像和磁盘镜像基本一样，有差别。

比如，section的内存镜像可以大于磁盘文件镜像；文件中的section可以标记为不映射到内存中；section磁盘文件和内存当中的对齐粒度不同等等。
2009-2-3 17:15
0
ShadowCHN
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
我也有同样的问题，按照3楼的方法用stud_pe打开后是这样的：
00400000   ……    pe header
00401000   ……     code
……
00406000  ……     resources
感觉内存映射  是从头由低地址开始映射的
而加密与解密第三版中画的图都是倒过来的，有些不明白。
还有堆栈的问题，到底栈定是在低地址还是高地址的问题？
2009-2-4 17:17
0
icersg
雪    币： 293
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
晕，其实是一个意思。只不过方向定义不一样。
什么是小？什么是大？什么是低？什么是高？
比如说看书，我们把上面的叫做第一行，第二行，越往下，行数越大。
日常生活中，比如楼房，我们从下面开始数，叫一楼，二楼，越往上，层数越大。
字符串我们表示index的时候从左边到右边是从0到长度-1。
32位的数字，我们从右往左表示0到31位。
……
看书上的图的时候，先弄清楚它的方向定义，再看内容就明白了。
2009-2-4 18:20
0
ShadowCHN
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
恩，如果是这样的话。
我就明白了。
感谢以上各位！
2009-2-4 19:43
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//