使用windbg查看PE结构

最新推荐文章于 2022-11-05 09:25:20 发布

iteye_18800

最新推荐文章于 2022-11-05 09:25:20 发布

阅读量324

点赞数

文章标签：操作系统 c/c++

使用windbg查看PE结构

实验环境：

WIN732bit

编译器：

Microsoft(R)MacroAssemblerVersion6.14.8444

Microsoft(R)32-bitC/C++OptimizingCompilerVersion15.00.30729.01for80x86

查看模块PE结构大体情况：

查看模块PE结构详细情况：

EXE文件中，不一定含有PE结构符号,但ntdll.dll中是一定有的。获得这些结构符号之后，在dt命令中可以直接使用，可以不加模块名，如：dt_IMAGE_DOS_HEADER00400000

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

iteye_18800

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

【C++软件调试技术】使用 Windbg 分析软件异常时的诸多细节与技巧总结

dvlinker的技术专栏

01-11

1万+

使用 Windbg 分析软件异常时的诸多细节与技巧总结。

C++软件调试与异常排查从入门到精通系列文章汇总

热门推荐

dvlinker的技术专栏

06-29

17万+

根据近几年排查软件异常的实践与经验，系统地讲解了C++软件异常常见原因与常用排查方法，以图文并茂的方式给出具体的分析实例，带领大家逐步掌握C++软件异常排查的相关技术与要领。

参与评论您还未登录，请先登录后发表或查看评论

WinDbg查看notepad的PE结构

hahaha233330的博客

06-02

250

打开notepad，再打开windbg，File → Attach to a Process，选择notepad.exe，连接进程。输入命令 !dh -f notepad 查看进程号。输入命令 !db 进程号 l400 查看notepad的PE结构。

PE格式系列_0x02：PE头部信息（WinDbg查看）

可乐松子的博客

05-23

1576

0x02 PE头部信息（WinDbg查看）使用像CFF、Stud_PE等专用工具可以直接查看PE文件的格式，那还有必要学习PE的格式吗？前面学习目的就是答案单纯的看PE格式介绍没什么意思，下面结合分析notepad软件来学习PE格式工具：调试器是WinDbg、PE查看工具是Stud_PE和PEview（任何一款PE工具都可以）提示：WinDbg是windows下调试的神器，如果有时间的话，建议学习一个使用 1.notepad基本信息先使用WinDbg简单了解一下C:\Windows\SysWO

使用Windbg认识Ｗindows PE结构

sankernel的博客

02-12

319

0:000> !dh -f notepad File Type: EXECUTABLE IMAGE FILE HEADER VALUES 14C machine (i386) 4 number of sections 559EA6FF time date stamp Fri Jul 10 00:53:19 2015 0 file pointer to symbol table 0...

PE文件结构简析-windbg

06-15

PE文件结构简析，pe头文件是学习windows的一个重要过程，关于pe可以使用windbg调试器。

windbg 查看结构体_用WinDbg进行调试

weixin_31050349的博客

12-23

902

通往WinDbg的捷径(一)windbg的使用详细:http://wenku.baidu.com/view/f576c31e650e52ea55189832.html导言你钟情什么样的调试器？如果你问我这个问题，我会回答是“VisualStudio+WinDbg”。我比较喜欢VisualStudio那朴实无华且易操作的接口，更喜欢它能迅速把我需要的信息以可视的形式展示出来。但遗憾的是，Vi...

windbg经典中文教程

01-23

Windbg支持扩展命令和插件，如` sos.dll`用于.NET调试，`pedump`查看PE文件结构。这些工具能极大丰富调试功能。 10. **学习资源** 本教程《windbg经典中文教程.pdf》将详细解释以上概念并提供实例演示，建议结合...

windbg-PE完整分析

多媒体编程、网络编程、系统编程、网络安全编程、驱动编程

06-16

1317

1.PE结构常用的结构体 [plain] view plain copy 0:001> dt ntdll!*IMAGE* ntdll!_IMAGE_NT_HEADERS ntdll!_IMAGE_FILE_HEADER ntdll!_IMAGE_OPTIONAL_HEADE

Microsoft Macro Assembler v6.15

03-15

这个masm是我学习汇编语言的课时用的，非常好用，而且我还加入了很多我找到的inc和lib，所以库很全，而且是绿色版。

windbg学习22（!dh和!lmi)

weixin_30950887的博客

01-08

147

!dh:扩展显示指定映像的头部 -h 在调试器命令窗口中显示该扩展命令的帮助文本。 0:004> !dh -h Usage: dh [options] address Dumps headers from an image based at address Options: -a Dump everything -f Dump fil...

Windbg显示PE信息

weixin_33979363的博客

06-29

194

!dh 命令 kd> !dh 7c800000 File Type: DLL FILE HEADER VALUES 14C machine (i386) 4 number of sections 4121457C time date stamp Tue Aug 17 07:38:36 2004 0 file pointer to...

使用windbg查看PE文件格式

nevil的专栏

08-15

1760

DOS Header & NT Header: Data Directory: kd> !dh 0040000 Export Table: Import Table:

windbg分析PE导入导出表

shuishan_lmy的博客

05-22

1057

15.windbg-dds、dps、dqs、PE文件解析

hgy413的专栏

05-14

7541

以下默认windbg加载calc程序 1.d*s dds、dps和dqs命令显示给定范围内存的内容,它们是把内存区域转储出来，并把内存中每个元素都视为一个符号对其进行解析，dds是四字节视为一个符号，dqs是每8字节视为一个符号，dps是根据当前处理器架构来选择最合适的长度比如要看看当前stack 中保存了哪些函数地址，就可以检查ebp 指向的内存 0:000> dds ebp 000

记录windbg调试使用