2014年10月_billvsme

10月 09月 08月 07月 06月 04月 03月 02月 01月

原创 PE文件结构（五）基址重定位

参考书：《加密与解密》视频：小甲鱼解密系列视频基址重定位链接器生成一个PE文件时，它会假设程序被装入时使用的默认ImageBase基地址（VC默认exe基地址00400000h，dll基地址10000000h），并且会把代码中所有指令中用到的地址都使用默认的基地址（例如程序代码中 push 10001000，就是把10000000h当做了基地址，把push 10001000写入到文件中）。如果一个exe程序中一个dll装载时的地址与其它dll地址发生冲突（因为windo

2014-10-07 01:55:46 6750

原创 PE文件结构（四）输出表

PE文件结构（四）参考书：《加密与解密》视频：小甲鱼解密系列视频输出表一般来说输出表存在于dll中。输出表提供了文件中函数的名字跟这些函数的地址， PE装载器通过输出表来修改IAT。 IMAGE_OPTIONAL_HEADER中的 DataDirectory[0] 提供了输出表的RVA。输出表是以一个IMAGE_EXPORT_DIRECTORY结构开始的。IMAGE_EXPORT_DIRECTORY结构：typedef struct _IMAGE_EXP

2014-10-06 00:48:50 2398

原创 PE文件结构（三）输入表

PE文件结构（三）参考书：《加密与解密》视频：小甲鱼解密系列视频输入表输入函数，表示被程序调用但是它的代码不在程序代码中的，而在dll中的函数。对于这些函数，磁盘上的可执行文件只是保留相关的函数信息，如函数名，dll文件名等。在程序运行前，程序是没有保存这些函数在内存中的地址。当程序运行起来时，windows加载器会把相关的dll装入内存，并且将输入函数的指令与函数真在内存中正的地址联系起来。输入表（导入表）就是用来保存这些函数的信息的。在 IMAGE_OPT

2014-10-03 11:52:39 4451 1

原创 PE文件结构（二）区块，文件偏移与RVA转换

PE文件结构（二）参考书：《加密与解密》视频：小甲鱼解密系列视频区块在区块表后面的就是一个一个区块，每个区块占用对齐值的整数倍，一般的文件都有代码块跟数据块（它们的名字一般为.text 跟 .data 但这是可以修改的）。每个区块的数据具有相同的属性。编译器先在obj中生成不同的区块，链接器再按照一定的规则合并不同obj跟库中的快。例如每个obj中肯定有.text 块，连接器就会把它们合并成一个单一的.text 块；再如，如果两个区块具有相同的的属性就有可能被合

2014-10-02 22:31:31 3788

空空如也

TA创建的收藏夹 TA关注的收藏夹

TA关注的人

原创 PE文件结构（五）基址重定位

原创 PE文件结构（四） 输出表

原创 PE文件结构（三） 输入表

原创 PE文件结构（二） 区块，文件偏移与RVA转换

空空如也

空空如也

原创 PE文件结构（四）输出表

原创 PE文件结构（三）输入表

原创 PE文件结构（二）区块，文件偏移与RVA转换