EverEdit逆向 PE结构

text块
virtual size 001990A9
virtual address 00001000
size of raw date 00199200
pointer to raw date 00000400
开始761000
结束8FA0A9
400+1990A9=1994A9 virtual size就是text块实际数据的大小符合
rdata块
virtual size 00037682
virtual address 0019B000
size of raw data 00037800
pointer to raw data00199600
开始8FB000
结束932682（最末位数据是2个00 00）
199600+37682=1d0c82 virtual size就是rdata块实际数据的大小
data块
virtual size 0004AC68
virtual address 001D3000
size of raw data 0000EC00
pointer to raw data001D0E00
1D0E00+EC00=1DFA00
开始933000
结束97dc68(最后4个数据 2E 23 68 01)
virtual size>size of raw data 因为data段中包含了未初始化的全局变量
rsrc块
virtual size 00062008
virtual address 0021E000
size of raw data 00062200
pointer of raw data 001DFA00
1DFA00+62008=241C00
开始97E000
结束9E0008（最后8个数据 B3 04 B4 04 00 00 B5 04 后面是50 41 44 44 49 4E 47 58 58 50 41 44 44 49 4E 47）
virtual size就是rsrc块实际数据的大小
reloc块
virtual size 0001643A
virtual address 00281000
size of raw data 00016600
pointer to raw data 00241c00
开始9E1000
结束9F743A(最后是8D2个00)
数据最后确实是8D2个00，满足说明virtual size就是reloc的实际数据的大小

size of image 00298000

以上结果说明在大多数情况下virtual size就是块中实际数据的大小，但是也有未初始化的全局变量导致Virtual size>Size of raw data
size of image 是加载到内存中的PE文件的大小
磁盘中PE文件的大小可通过最后一个块的pointer to raw data 和size of raw data来得知