为什么这么多人通过这篇博客关注我?那我得补点其他东西。
大家是不是有时候想要查看DLL文件的内容呢?打开记事本查看当然是乱码啊!
先给大家看看记事本吧:
其实虽然说是乱码,也不全是,比如This program cannot be run in DOS mode,这句话是有含义的,具体含义在本文末尾介绍,还有.rdata .data .text pdata .medate .rsrc .reloc等,是一些段名
所以我们就需要一些工具(打开NTDLL.dll):
GUI
VS
啥?你要现成的?自己去下VS。
pexplorer
https://download.csdn.net/download/m0_66248056/87941558
winhex
https://download.csdn.net/download/m0_66248056/87941562
命令行
objdump
啥?你要现成的?自己去下MinGW,或者用Linux(啊,Linux好像没有.exe)
各种参数
主要用到 objdump -p,显示所有导出函数(和其他东东)。
还有 objdump -S,输出代码(别想了,是汇编代码)。
dumpbin
啥?你要现成的?自己去下VS。
讲一下开头说的This program cannot be run in DOS mode
嗯,其实在DOS环境下(不是Windows的命令提示符,是DOS系统),运行一个可执行文件需要读取这个可执行文件的两个指针,这两个指针指向真正的开头代码地址,在Windows环境下不需要这两个指针,但是他们被保留(虽然用不上),他们也指向一些代码,但不是真正的开头,这段代码的功能是:输出This program connot be run in DOS mode.然后退出程序。因为虽然是类似继承关系,但是Windows和DOS还是有很大的差别的,在Windows下能运行的一些代码在DOS下就不行,所以这两个指针指向的代码是DOS下可运行的(虽然Windows下可能不行),并且如果这两个指针指向真正的开头地址,因为兼容性问题代码可能无法执行,程序异常退出,甚至导致系统卡死(不过一般不会,否则病毒也太容易做了),还不如正常的输出一行提示语再直接正常退出呢。