恶意软件分析基础-PE文件简单分析记录

PE文件简单分析记录

通常在分析一些样本时会遇到如下程序

Handle hImageBase=LoadLibraryA("Kernel32.dll");
void* aAddr =hImageBase+0x3c;
void* bAddr=aAddr++0x78;

的调用，为了能更理解在运行时的解析操作，使用010Editor进行分析了exe文件。

DosHeader

这个是整个PE文件的头部，通常加载一个exe或者dll获取的base地址就是这个头

以MZ标志开头，表示这个一个PE文件。如果要读取Rich的字符串头信息和ntheader，则需要

ptrRich = base+0x40，这里就指向了This is programe cannot be run in DOS mode 的信息
ntheader = base+0x3c ;这里会获得ntheader的地址