一、了解一些逆向的基本知识
链接
是指将有关的目标文件彼此相连接生成可加载、可执行的目标文件，其核心工作是符号表解析和重定位。链接按照工作模式分静态和动态链接两类。
静态链接：链接器将函数的代码从其所在地（目标文件或静态链接库中）拷贝到最终的可执行程序中，整个过程在程序生成时完成。静态链接库实际上是一个目标文件的集合，其中的每个文件含有库中的一个或者一组相关函数的代码，静态链接则是把相关代码拷贝到源码相关位置处参与程序的生成。
动态链接：动态链接库在编译链接时只提供符号表和其他少量信息用于保证所有符号引用都有定义，保证编译顺利通过。程序执行时，动态链接库的全部内容将被映射到运行时相应进程的虚地址空间，根据可执行程序中记录的信息找到相应的函数地址并调用执行
基本概念
PE文件的全称是"Portable Executable File Format"，也就是可移植的执行体，目前是Windows平台上的主流可执行文件格式。
PE文件使用的是一个平面地址空间，所有的代码和数据都合并在了一起，组成了一个完整的文件结构。
PE文件结构
PE文件的整体结构如下：
主要分为头部和区段(也称节表)两个部分，
头部又包括Dos头、NT头(PE签名、PE文件头、PE可选头)、区段表，
区段包括代码段、数据段等。文件内容被分成了不同的部分区段，
区段中包含文件基本信息、数据、代码，各个区段按页大小对齐，
每个区段都有自己的属性，如是否可读、可写和可执行。
常见的EXE、DLL、OCX、SYS、COM都是PE文件。
PE文件以段的形式存储代码和相关资源数据，其中数据段和代码段是必不可少的两个段。
Windows NT 预定义的段分别为
.text、.bss、.rdata、.data、.rsrc、.edata、.idata、.pdata和.debug。
这些段并不是都是必须的，另外也可以根据需要定义更多的段，常见的一些加壳程序则拥有自己命名的段。
在应用程序中最常出现的段有以下6种：
1、执行代码段，.text命名；
2、数据段，.data、.rdata 命名；
3、资源段，.rsrc命名；
4、导出表，.edata命名；
5、导入表，.idata命名；
6、调试信息段，.debug命名。
详细参考此篇文章：PE文件：(1)基础知识
二、程序如何运行
图片文章作者-> 逆向入门_庞叶蒙的博客-CSDN博客_逆向
字丑，勿嫌/捂脸
我是这样简化理解的，比如说，欸嘿我今天想去玩游乐场游玩项目，
我怎么能玩到游乐场中的游玩项目呢，游玩项目住在住在游乐场呀，不在我家里呀，
这个时候就有很多选择，欸，我就选择了一个方法，让施工队把游玩项目copy一个虚拟到我家里面，并且放在了客厅的位置（听起来很神奇有没有），但是呢，游玩设施为了安全，外面都有一个围栏外加一个锁，怎么办呢，施工队师傅很贴心的看到有个锁子，他帮我撬开，然后我就能在家里游玩游乐设施了。
游玩项目就是你要打开执行的程序
游乐园就是硬盘
我家就是内存
施工队师傅就是装载器
施工师傅把游玩项目copy一个虚拟到我家里的过程就叫装载
客厅的位置就是栈和堆
锁子就是可执行文件的表示PE头。
程序从入口点开始顺序执行，CPU直接与内存中的程序打交道，读取内存中的数据进行处理，并将结果保存到内存，除非代码段中还有保存数据到硬盘的代码，否则程序全程都不会在硬盘中存储任何数据。这就好比我们打开文档编辑器去编译文档，不管输入多少内容，在我们点击“保存”前，硬盘上的程序文件都没有变动，输入的数据都只是存储在内存上，如果此时很不幸断电了，内存上的数据会立刻丢失。为了应对这种尴尬局面，一些编辑软件会定期自动保存新数据至硬盘上，以防意外丢失数据的情况发生。
既然程序在运行时需要加载到内存中才能运行，那么问题来了，对于目前体积越来越庞大的游戏来说，岂不是要把40~50G（可见使命召唤系列）的数据全塞进内存里。在某猫上搜索某品牌电脑，按价格排序后，某款3w RMB的移动工作站的内存也只是32G，这显然不满足一下子装载一款游戏的需求。而查看该游戏的运行配置需求，内存需求也只是几个G而已，这是怎么回事呢？
原来，操作系统为解决此问题：当程序运行需要的空间大于内存容量时，会将内存中暂时不用的数据写回硬盘；需要时再从硬盘中读取，并将另外一部分不用的数据写入硬盘。这样，硬盘中部分空间会用于存储内存中暂时不用的数据，这一部分空间就叫做虚拟内存（Virtual Memory）。其中内存交换、内存管理等详细过程。
参考资料：(11条消息) 逆向--基础知识篇_锋刃科技的博客-CSDN博客_计算机逆向
扫一扫
1349
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
