【免杀前置课——PE文件结构】十八、数据目录表及其内容详解——数据目录表（导出表、导入表、IAT表、TLS表）详解；如何在程序在被调试之前反击？TLS反调试（附代码）

已于 2022-12-12 17:20:13 修改
阅读量1.2k 收藏 6
点赞数 3
分类专栏： PE文件结构 免杀前置课 文章标签： windows 服务器 c++ microsoft
于 2022-12-12 17:00:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_62783065/article/details/128233973
版权

数据目录表

数据目录表 IMAGE_DATA_DIRECTORY

数据目录表：可选PE头最后一个成员，就是数据目录.一共有16个
分别是：导出表、导入表、资源表、异常信息表、安全证书表、重定位表、调试信息表、版权所以表、全局指针表
TLS表、加载配置表、绑定导入表、IAT表、延迟导入表、COM信息表 最后一个保留未使用,默认为0。
在这里插入图片描述
NumberOfRvaAndSize数据目录表的个数。
在这里插入图片描述
VirtualAddress RVA内存偏移
FOA硬盘中的偏移
Size 大小

导出表 IMAGE_EXPORT_DIRECTORY

在这里插入图片描述
Name 导出表文件名首地址
Base 导出函数起始序号
NumberOfFunctions是dll文件中导出函数的个数：最大的序号-最小序号+1，下图为6。
NumberOfNames以名称导出函数的个数：即在dll文件中函数后面不加noname的数量，下图为2.
在这里插入图片描述

在DLL文件中如何找到要用的函数呢？

AddressOfNames存的是函数名称起始位置的偏移。
AddressOfNameOrdinals存的是序号，加上Base等于dll文件中函数后面的序号。
AddressOfFunctions存的是真正函数存储位置的偏移。

下图从右向左
要找到MessageBoxW的函数地址，首先从AddressOfNames在AddressOfNameOrdinals中的索引找到MessageBoxW的序号，在AddressOfFunctions按序号找到地址。
在这里插入图片描述

数据FOA-区段FOA=数据RVA-区段RVA
区段FOA=数据FOA-数据RVA+区段RVA

导入表 IMAGE_IMPORT_DESCRIPTOR

问题
  • 1、调用dll文件函数原理？

程序在调用dl1文件函数时，并不是把d11文件函数的代码编译到当前文件中，而是把d11文件对应的函数地址保存到了当前文件中。（调用默认在内存）

  • 2、一个进程空间中的exe dll文件如何被加载到内存的？

exe被最先加载，后需要哪个dll文件再进行调用。

  • 3、Exe文件调用的动态链接库在内存中与在硬盘中有什么不同？

在硬盘中exe存储的是调用dll时用到的函数名称，在内存中是调用dll时将dll加载进内存后函数的地址。

这三个问题是非常重要的，主要是要能理解exe和dll文件之间的关系，看下图实例的讲解：
在这里插入图片描述
我们知道在一个进程中分配了4G内存空间，在我们exe文件中的该如何调用dll文件中的函数呢？
如上图右侧4G内存中，exe文件运行到要调用函数时找到函数调用的内存地址，对dll文件中函数进行调用。
但是这么多dll文件中的函数，不能保证这函数每次被加载到内存时一直在这个位置，该如何解决呢？
事实上，exe文件在硬盘中存储时在要调用dll文件（HMODULE）中函数位置存放的是函数的名称（func），当exe文件被加载进内存时发现要调用哪个dll文件，把dll文件加载进进程内存中，后利用GetProcessAddr(HMODULE,func)将在该HMODULE模块中要调用的function找到此时拿到了函数真正在内存的地址，然后才把类似上图中0x600000的地址填到exe文件中的。
也就是说exe对dll中函数的调用，dll的加载是一个动态的过程，用到哪个dll文件再加载，因为不能确定每个dll文件每次被加载进内存的位置，所以并不能一次写死，但是exe文件可以写死，因为exe是最先加载进4G内存的文件

在这里插入图片描述

导入表解析

一个文件只有一个导出表，有多个导入表
在这里插入图片描述
在这里插入图片描述

INT：导入名称表，无论在文件中还是在内存中都是指向函数的名称
IAT: 导入地址表，在文件中时，与INT是一样的指向函数名称，在内存中保存的是函数实际地址
在这里插入图片描述
OriginalFirstThunk指向一个结构体PIMAGE_THUNK_DATA，这结构体其中的联合体判断是按序号导入还是按名称导入，最高位如果为1就是按序号导入的，其他31位都为序号，如果不为1就是按名称导入的，其他都是函数名称。
OriginalFirstThunk(INT)中包含着IMAGE_IMPORT_BY_NAME结构体，存储的是导入函数的名称。
Name 指向被导入的dll的 RVA。
FirstThunk(IAT)中 需要根据判断TimeDataStamp是否为0，若为0则和IMAGE_IMPORT_BY_NAME一样，不为0则存储的是导入函数实际的位置。

获取导入表

文件结构

在这里插入图片描述

CPeUtil.cpp

#include "CPeUtil.h"

CPeUtil::CPeUtil()
{
	FileBuff=NULL;
	FileSize=0;
	pDosHeader = NULL;
	pNtHeaders = NULL;
	pFileHeader = NULL;
	pOptionHeader = NULL;
}

CPeUtil::~CPeUtil()
{
	if (FileBuff)
	{
		delete[]FileBuff;
		FileBuff = NULL;
	}
}
//载入文件
BOOL CPeUtil::loadFile(const char* patch)
{
	HANDLE hFile = CreateFileA(patch, GENERIC_READ, 0, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, 0);
	if (hFile==0) 
	{
		return FALSE;
	}
	//私有成员变量获取文件大小并初始化缓冲区
	FileSize = GetFileSize(hFile, 0);
	FileBuff = new char[FileSize]{0};
	DWORD realReadBytes = 0;
	//是否读取成功
	BOOL readSuccess =ReadFile(hFile,FileBuff,FileSize,&realReadBytes,0);
	if (readSuccess==0)
	{
		return FALSE;
	}
	if (InitPeInfo())
	{
		CloseHandle(hFile);
		return TRUE;
	}
	return FALSE;
}

//加载文件后初始化不同头位置
BOOL CPeUtil::InitPeInfo()
{
	//用以下两个判断该文件是否为PE文件
	pDosHeader = (PIMAGE_DOS_HEADER)FileBuff;
	if (pDosHeader->e_magic != IMAGE_DOS_SIGNATURE)
	{
		return FALSE;
	}
	pNtHeaders = (PIMAGE_NT_HEADERS)(pDosHeader->e_lfanew + FileBuff);
	if (pNtHeaders->Signature != IMAGE_NT_SIGNATURE)
	{
		return FALSE;
	}
	pFileHeader = &pNtHeaders->FileHeader;
	pOptionHeader = &pNtHeaders->OptionalHeader;

	return TRUE;
}

//输出区段头
void CPeUtil::PrintSectionHeaders()
{
	PIMAGE_SECTION_HEADER pSectionHeaders = IMAGE_FIRST_SECTION(pNtHeaders);//获取第一个区段头地址
	//遍历不同区段
	for (int i = 0; i < pFileHeader->NumberOfSections; i++)
	{
		char name[9]{ 0 };
		memcpy_s(name, 9, pSectionHeaders->Name, 8);
		printf("区段名称：%s\n", name);
		pSectionHeaders++;
	}
}

//解析导出表
void CPeUtil::GetExportTable()
{
	IMAGE_DATA_DIRECTORY directory = pOptionHeader->DataDirectory[0];
	PIMAGE_EXPORT_DIRECTORY pexport = (PIMAGE_EXPORT_DIRECTORY)RvaToFoa(directory.VirtualAddress);
	char *dllName = RvaToFoa(pexport->Name)+FileBuff;
	printf("文件名称：%s\n", dllName);
	//遍历不同函数的地址
	DWORD* funaddr = (DWORD*)(RvaToFoa(pexport->AddressOfFunctions) + FileBuff);
	WORD* peot = (WORD*)(RvaToFoa(pexport->AddressOfNameOrdinals) + FileBuff);
	DWORD* pent = (DWORD*)(RvaToFoa(pexport->AddressOfNames) + FileBuff);
	for (int i = 0; i < pexport->NumberOfFunctions; i++)
	{
		printf("函数地址为：%x\n",*funaddr);
		for (int j = 0; j < pexport->NumberOfNames; j++)
		{
			if (peot[j]==i)
			{
				char* funName = RvaToFoa(pent[j])+FileBuff;
				printf("函数名称为：%s\n", funName);
				break;
			}
		}
		funaddr++;
	}
	
}

//获取导入表
void CPeUtil::GetImportTables()
{
	//导入表也是数据目录表的一部分，作为第二个
	IMAGE_DATA_DIRECTORY directory = pOptionHeader->DataDirectory[1];
	//获取真正导入表地址
	PIMAGE_IMPORT_DESCRIPTOR pImport = (PIMAGE_IMPORT_DESCRIPTOR)(RvaToFoa(directory.VirtualAddress) + FileBuff);
	//判断联合体中是否有数据
	while (pImport->OriginalFirstThunk)
	{
		char* dllName = RvaToFoa(pImport->Name) + FileBuff;
		printf("dll文件名称为：%s\n", dllName);
		PIMAGE_THUNK_DATA pThunkData = (PIMAGE_THUNK_DATA)(RvaToFoa(pImport->OriginalFirstThunk) + FileBuff);
		//判断联合体中是否有数据
		while (pThunkData->u1.Function)
		{
			//判断是按序号导入还是按名称导入
			if (pThunkData->u1.Ordinal & 0x80000000)
			{
				printf("按序号导入:%d\n", pThunkData->u1.Ordinal & 0x7FFFFFFF);
			}
			else
			{
				PIMAGE_IMPORT_BY_NAME importName = (PIMAGE_IMPORT_BY_NAME)(RvaToFoa(pThunkData->u1.AddressOfData) + FileBuff);
				printf("按名称导入:%s\n", importName->Name);
			}
			pThunkData++;
		}
		pImport++;
	}
}

//RVA转化FOA
DWORD CPeUtil::RvaToFoa(DWORD rva)
{
	
	PIMAGE_SECTION_HEADER pSectionHeaders = IMAGE_FIRST_SECTION(pNtHeaders);//获取第一个区段头地址
	//遍历不同区段
	for (int i = 0; i < pFileHeader->NumberOfSections; i++)
	{
		if (rva >= pSectionHeaders->VirtualAddress && rva < pSectionHeaders->VirtualAddress + pSectionHeaders->Misc.VirtualSize)
		{
			//数据的FOA=数据的RVA-区段的RVA+区段的FOA
			return rva - pSectionHeaders->VirtualAddress + pSectionHeaders->PointerToRawData;
		}
		pSectionHeaders++;
	}
	return 0;
}

CPeUtil.h

#pragma once
#include<Windows.h>
#include<iostream>
class CPeUtil {
public:
	CPeUtil();
	~CPeUtil();
	BOOL loadFile(const char* patch);
	BOOL InitPeInfo();
	void PrintSectionHeaders();
	void GetExportTable();
	void GetImportTables();
private:
	char* FileBuff;
	DWORD FileSize;
	PIMAGE_DOS_HEADER pDosHeader;
	PIMAGE_NT_HEADERS pNtHeaders;
	PIMAGE_FILE_HEADER pFileHeader;
	PIMAGE_OPTIONAL_HEADER pOptionHeader;
	DWORD RvaToFoa(DWORD rva);
};

main.cpp

#include<iostream>
#include"CPeUtil.h"

int main()
{
	CPeUtil peUtil;
	BOOL ifSuccess = peUtil.loadFile("D:\\code\\VisualStudio2022\\FirstDLL\\Debug\\FirstDLL.dll");
	if (ifSuccess)
	{
		peUtil.GetImportTables();
		//peUtil.GetExportTable();
		//peUtil.PrintSectionHeaders();
		return 0;
	}
	printf("加载PE文件失败！\n");
	return 0;
}

在这里插入图片描述

重定位表 IMAGE_BASE_RELOCATION

在代码中有很多像这种的全局变量，但是像我们之前说的，如果她是直接写死的，就无法确定在加载到内存后还在那个位置，该怎么办？
PE文件创建了多张表来存放这些写死地址的数据位置，用的时候到表中遍历找到相应数据即可。

在这里插入图片描述
在这里插入图片描述
1.VirtualAddress 是 Base Relocation Table 的位置它是一个 RVA 值；
2.SizeOfBlock 是 Base Relocation Table 的大小；
3.TypeOffset是一个数组，数组每项大小为两个字节（16位），它由高 4位和低 12位组成，高 4位代表重定位类型，低 12位是重定位地址，它与 VirtualAddress 相加即是指向PE 映像中需要修改的那个代码的地址。

下图就是重定位表的实例。假如有个0x4002/0x4018/0x4088被存入，则会存在第一个0x4000重定位表中，0x2/0x18/0x88，为什么要有多个重定位表，若为0x5000以上该怎么存？
放到下一个重定位表中，因为其为分页存储，每页偏移为0x1000，所以不同位置的相隔0x1000进行存储。
VirtualAddress + WORD格子中的偏移 = 要修复的地址RVA
但是像这些格子中，拿到的数据可能并不需要修复，如何判断呢？
在这个结构体中除了VirtualAddress和sizeofBlock是DWORD类型的，其他的是WORD类型，也就是16字节，在16字节中最高4位如果等于3，说明它是需要被修复的。也就是高4位是标识，后12位才是真正的偏移值。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

TLS

线程A去修改TLS变量时线程B是不会受影响的，因为每个线程都拥有一个TLS变量的副本。
什么是TLS?
TLS是 Thread Local Storage的缩写线程局部存储。主要是为了解决多线程中变量同步的问题。
TLS的意义?
进程中的全局变量与函数内定义的静态(static)变量，是各个线程都可以访问的共享变量。在一个程修改的内存内容，对所有线程都生效。这是一个优点也是一个缺点。说它是优点，线程的数据交变得非常快捷。说它是缺点，多个线程访问共享数据，需要昂贵的同步开销，也容易造成同步相的 BUG。
如果需要在一个线程内部的各个函数调用都能访问、但其它线程不能访问的变量（被称为staticmemory local to a thread 线程局部静态变量），就需要新的机制来实现。这就是TLS
TLS变量只需要定义一次，类似全局变量，但定义完后每一个线程都能获取TLS变量的副本，解决了不能同步访问TLS的问题。节约了时间和成本。

在这里插入图片描述
在这里插入图片描述

#include<Windows.h>
#include<iostream>
#pragma comment(linker,"/INCLUDE:__tls_used")
_declspec(thread) int g_number = 100;
HANDLE hEvent = NULL;

DWORD WINAPI threadProc1(LPVOID lparam)
{
	g_number = 200;
	printf("threadProc1 g_number=%d\n", g_number);
	SetEvent(hEvent);
	return 0;
}

DWORD WINAPI threadProc2(LPVOID lparam)
{
	WaitForSingleObject(hEvent, -1);
	printf("threadProc2 g_number=%d\n", g_number);
	return 0;
}

void NTAPI t_TlsCallBack_A(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	printf("TLS函数执行了\n");
}

#pragma data_seg(".CRT$XLX")
//存储回调函数地址
PIMAGE_TLS_CALLBACK pTLS_CALLBACKs[] = { t_TlsCallBack_A,0 };
#pragma data_seg()

int main()
{
	hEvent = CreateEventA(NULL, FALSE, FALSE, NULL);
	HANDLE hThread1 = CreateThread(NULL, NULL, threadProc1, NULL, NULL, NULL);
	HANDLE hThread2 = CreateThread(NULL, NULL, threadProc2, NULL, NULL, NULL);
	WaitForSingleObject(hThread1,-1);
	WaitForSingleObject(hThread2,-1);
	CloseHandle(hEvent);
	system("pause");
	return 0;
}

TLS函数我们可以看到执行了五次，他有点像PHP中的魔法函数，分别在进程创建/销毁，线程创建/销毁时调用TLS回调函数。
在这里插入图片描述
void NTAPI t_TlsCallBack_A(PVOID DllHandle, DWORD Reason, PVOID Reserved)中：
Reason是调用函数的时机，可以进行判断(即进程创建/销毁，线程创建/销毁时机判断）。
在这里插入图片描述
在这里插入图片描述
在晋城创建时调用TLS函数，这也说明了TLS是最先执行的。
OD加载一个程序，OEP我们之前认为是最先执行的，实际上TLS在OEP执行之前就已经执行了。

TLS反调试

TLS用途2:
在安全领域中，TLS常被用来处理诸如反调试、抢占执行等操作。

既然我们知道了TLS是最先执行的，那么我们在TLS回调函数中加上判断是否被调试的API，若被调试直接在OEP之前终止程序，即可做到反调试。

#include<Windows.h>
#include<iostream>
#pragma comment(linker,"/INCLUDE:__tls_used")
void NTAPI TLS_CALLBACK1(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	if (Reason == DLL_PROCESS_ATTACH)
	{
		BOOL result = FALSE;
		HANDLE hNewHandle = 0;
		DuplicateHandle(GetCurrentProcess(), GetCurrentProcess(), GetCurrentProcess(), &hNewHandle, NULL, NULL, DUPLICATE_SAME_ACCESS);
		CheckRemoteDebuggerPresent(hNewHandle, &result);//微软提供的API 判断该文件有没有被调试
		if (result)
		{
			MessageBoxA(0, "程序被调试了！", "警告", MB_OK);
			ExitProcess(0);
		}
	}
	return;
}
#pragma data_seg(".CRT$XLX")
PIMAGE_TLS_CALLBACK pTLS_CALLBACKs[] = { TLS_CALLBACK1,0 }; 
#pragma data_seg()

int main()
{
	printf("main函数执行了");
	system("pause");
	return 0;
}

在这里插入图片描述

TLS表 IMAGE_TLS_DIRECTORY32

这其中的地址都是VA，而不是RVA。
在这里插入图片描述
在这里插入图片描述

webfker from 0 to 1
关注
  • 3
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
IATHOOK 易语言 还有PE文件格式解析 导入表 导出表
01-20
适合小白练习
PE文件详解七：IMAGE_EXPORT_DIRECTORY STRUCT导出表
pjz969的专栏
02-26 3783
PE文件详解七：IMAGE_EXPORT_DIRECTORY STRUCT导出表 当PE 文件被执行的时候，Windows 加载器将文件装入内存并将导入表(Export Table) 登记的动态链接库(一般是DLL 格式)文件一并装入地址空间，再根据DLL 文件中的函数导出信息对被执行文件的IAT 进行修正。 导出表就是记载着动态链接库的一些导出信息。通过导出表，DLL 文件可
导出表 IMAGE_EXPORT_DIRECTORY
Ghjhfssfgk的博客
01-28 370
typedef struct _IMAGE_EXPORT_DIRECTORY { DWORD Characteristics; // 未使用，总为0 DWORD TimeDateStamp; // 文件创建时间戳 WORD MajorVersion; // 未使用，总为0 WORD MinorVersion; ...
11.PE文件之导出表(IMAGE_EXPORT_DIRECTORY)
kernelhack
10-29 5431
目录 导出表定位以及解析(手动) 代码定位导出表并打印其数据 通过函数名查找导出函数地址 通过导出函数序号查找函数地址 移动导出表 PE中的导出表通常存在于动态链接库文件里.有些EXE也会存在导出表.导出表的主要作用是将PE中存在的函数引出到外部,以便其他人可以使用这些函数,实现代码的重用.导出表的存在可以让程序的开发者很容易清楚PE中到底有多少可以使用的函数. Windows装载器在进行PE装载时,将与进程相关的DLL加载到对应虚拟地址空间.会根据导入表中登记的与该动态链接库相关的由INT指
PE文件结构-导入表详解
wxf明的博客
12-30 1585
当PE文件运行时，PE文件将被系统加载进入内存中，此时Windows加载器会定位所有的导入的函数或者将定位到的内容填写到可执行文件的某个位置供使用，这个定位是需要借助于可执行文件的导入表来实现的。导入表中存放了所使用的DLL模块名称及导入函数的名称或者函数序列。 在PE文件中定位到PE头部的可选头的位置，可选头IMAGE_OPTIONAL_HEADER中最后一个成员： IMAGE_DATA_DI...
RVA到FOA的转换
qq_58405021的博客
12-20 1129
RVA到FOA的转换
逆向软件后，手把手教你如何修复IAT表
最新发布
10-31
逆向软件后，教你手把手修复IAT表
修复PE 文件导入表
09-02
它包含了代码、数据、资源等信息，而导入表则是PE文件的重要组成部分，用于指示程序在运行时如何调用其他动态链接库（DLL）中的函数。 导入表记录了程序所需的外部函数和它们所在的库。每个函数都有一个导入地址表...
PE文件导入表解析（C++）
05-01
3. 跳转到导入目录：根据虚拟地址转换为文件偏移量，然后读取导入目录结构（IMAGE_IMPORT_DESCRIPTOR）。这个结构体包含每个导入DLL的信息。 4. 遍历导入DLL：对于每个导入DLL，解析其ILT和IAT，获取函数名和地址。...
易语言PE输出表模块源码.zip易语言项目例子源码下载
03-23
1. **导入表（Import Address Table, IAT）**：在PE文件中，导入表用于记录程序运行时需要调用的其他模块（如DLL）中的函数地址。在源码中，你可能会看到易语言如何查找和解析这些依赖项，以及如何在运行时动态加载...
IMAGE_FIRST_SECTION
星空下的约定
11-30 3279
定位区块表（Section Table） 首先我们要知道，区段表是紧接在IMAGE_NT_HEADERS的后面的，如果我们找到了IMAGE_NT_HEADERS的地址，然后再加上IMAGE_NT_HEADERS的大小，是不是就找到了Section Table的地址了呢。知道了这个好开心微软在WinNT.h中提供了一个宏定义——IMAGE_FIRST_SECTION，用来定位区块表的它的具体实现如下
PE_导出表
个人笔记
04-01 596
导出表导出表概念导出表的作用导出表数据结构（IMAGE_EXPORT_DIRECTORY）IMAGE_EXPORT_DIRECTORY.nNameIMAGE_EXPORT_DIRECTORY.NumberOfFunctionsIMAGE_EXPORT_DIRECTORY.NumberOfNamesIMAGE_EXPORT_DIRECTORY.AddressOfFunctionsIMAGE_EXPORT_DIRECTORY.nBaseIMAGE_EXPORT_DIRECTORY.AddressOfNamesI
PE文件结构 - 数据目录表学习
bcbobo21cn的专栏
03-20 1668
数据目录表，是一个结构体数组。数组里的每个元素对应一个数据表。通常有16个。 数组每个元素都是一个结构体，结构体如下 typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress;// 数据表的起始虚拟地址 DWORD Size;// 数据表大小 }IMAGE_DATA_DIRECTORY,*IMAGE_DATA_DIRECTORY 16个数据表依次如下： 导出表、导入表、资源表、异常处理表、安全表、...
PE总结8---PE文件结构之导出表 （IMAGE_EXPORT_DIRECTORY）
oBuYiSeng的博客
12-09 2316
导出表由3个部分构成：  名称表，   函数表，   序号表。   名称表和序号表就是索引，引导调用者找到真正的函数表。   函数表中保存着被导出函数的地址信息    导出表在内存中的顺序是按照输出名称来确定的。     IMAGE_EXPORT_DIRECTORY结构： typedef struct _IMAGE_EXPORT_DIRECTORY { DWORD Characteri
PE文件结构—Data Diretoris,Sections,Section Header
QXinHan的博客
05-20 525
今天将具体学习一下数据目录表和区域表的相关内容，这两部分中有很多内容在文件被执行时起关键作用。下面我们将具体分析一下数据目录表和区域表。
PE-资源表
megaparsec
12-19 1810
PE资源表 PE中的相关资源可以通过程序进行深度定位，所获取的二进制字节码与资源脚本语句之间是一一对应的这些数据可能是源代码内部需要用到的常景，比如 菜单选项、界面描述等；也可能是源代码外部的，比如程序的图标文件、背景音乐文件、配置 文件等，以上这些数据统称为资源。
PE文件结构简述
热门推荐
Shanfenglan's blog
08-03 34万+
简述： PE文件结构分为五个部分： DOS文件头 DOS加载模块 PE文件头 区段表 区段 PE文件中显示的所有地址基本都是RVA，倘若想要换算成VA一般需要加上基地址ImageBase与文件偏移地址RVA。 虚拟地址（VA=virtual address）：每个32位PE文件被加载到内存的时候都会被分配4GB的虚拟内存，虚拟地址等于“程序的相对虚拟地址+基地址”。 相对虚拟地址（RVA=relatively virtual address）：相对虚拟地址是相比较于文件开头的地
PE-导出表
megaparsec
12-19 918
导出表 导出表描述了导出表所在PE文件向其他程序提供的可供调用的函数的情况。 一般情况下，PE中的导出表存在于动态链接库文件里。导出表的主要作用是将PE中存在的函数引出到外部，以便其他人可以使用这些函数，实现代码的重用。 3.1导出表作用 代码重用机制提供了重用代码的动态链接库，它会向调用者说明库里的哪些函数是可以被别人使用的，这些用来说明的信息便组成了导出表。 通常情况下，导出表存在于动态链接库文件里。 导出表的存在可以让程序的开发者很容易清楚PE中到底有多少可以使用的函数，但如果没有函数使用说明，开发者
【PE】PE文件结构学习
dr0op's blog
03-31 1277
【PE】PE文件结构学习PE文件内存对齐文件对齐PE结构分析DOS头结构PE头文件区块表输入表输出表：基址重定位表： PE文件 内存对齐 PE文件包括： DLL，EXE，OCX，SYS等。 Windows加载器遍历PE文件并将其复制到内存镜像。PE文件结构在磁盘中和内存中基本是一样的，但又不是完全复制，对齐方式有所不同。 如图：在Windows系统中，一个节在内存中对齐单位是一个页的大小。 对于32位操作系统来说，这个值是4KB(1000H) 对于64位系统来说，这个值是8KB(2000H) 文件
输入表免杀技术详解
通过深入理解PE文件结构和输入表的工作原理，开发者可以创建更复杂的免杀策略。然而，随着安全软件技术的发展，免杀技术也需要不断更新和进化以应对新的挑战。因此，对于安全研究者来说，了解并对抗这些免杀技术同样...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

webfker from 0 to 1

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值