使用windbg查看PE结构

最新推荐文章于 2023-11-03 16:06:23 发布
最新推荐文章于 2023-11-03 16:06:23 发布
阅读量4.8k 收藏 4
点赞数 2
分类专栏： Debugger 文章标签： microsoft 编译器 header image dos exe
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/tms_li/article/details/7748300
版权
本文介绍了在Windows 7 32位环境下，如何使用Windbg调试器查看PE（Portable Executable）文件结构。通过实验展示了查看模块PE结构的大致情况和详细信息，强调了虽然不是所有EXE文件都包含PE结构符号，但ntdll.dll必定存在。文章还提到了如何利用dt命令直接操作如_IMAGE_DOS_HEADER等结构。
摘要由CSDN通过智能技术生成

使用windbg查看PE结构

实验环境：

WIN7 32bit 

编译器：

Microsoft (R) Macro Assembler Version 6.14.8444

Microsoft (R) 32-bit C/C++ Optimizing Compiler Version 15.00.30729.01 for 80x86

查看模块PE结构大体情况：


查看模块PE结构详细情况：

    EXE文件中，不一定含有PE

最低0.47元/天 解锁文章
键盘上的疯兔
关注
专栏目录
使用Windbg分析dump文件排查C++软件异常的一般步骤与要点分享
dvlinker的技术专栏
10-16 3492
本文详细总结了使用Windbg分析dump文件去排查C++软件异常的一般步骤与方法，供大家借鉴或参考。
【C++软件调试技术】使用 Windbg 分析软件异常时的诸多细节与技巧总结
最新发布
dvlinker的技术专栏
01-11 1万+
使用 Windbg 分析软件异常时的诸多细节与技巧总结。
PE文件结构简析-windbg
06-15
PE文件结构简析，pe头文件是学习windows的一个重要过程，关于pe可以使用windbg调试器。
WinDbg查看notepad的PE结构
hahaha233330的博客
06-02 262
打开notepad，再打开windbg，File → Attach to a Process，选择notepad.exe，连接进程。 输入命令 !dh -f notepad 查看进程号。 输入命令 !db 进程号 l400 查看notepad的PE结构。
windbg学习23（!peb和PEB结构）
weixin_30487201的博客
01-10 528
调试器用户经常会需要查看在启动调试目标时使用了哪些命令行参数，这个信息是保存在PEB中的，可以通过!peb来获取，这个命令将解析PEB并给出完整的命令行，所有已加载DLL的位置，以及环境变量等. 0:000> !peb PEB at 7ffdf000 InheritedAddressSpace: No ReadImageFileExecOptions: N...
PE格式系列_0x02：PE头部信息（WinDbg查看）
可乐松子的博客
05-23 1607
0x02 PE头部信息（WinDbg查看） 使用像CFF、Stud_PE等专用工具可以直接查看PE文件的格式，那还有必要学习PE的格式吗？前面学习目的就是答案 单纯的看PE格式介绍没什么意思，下面结合分析notepad软件来学习PE格式 工具：调试器是WinDbg、PE查看工具是Stud_PE和PEview（任何一款PE工具都可以） 提示：WinDbg是windows下调试的神器，如果有时间的话，建议学习一个使用 1.notepad基本信息 先使用WinDbg简单了解一下C:\Windows\SysWO
windbg经典中文教程
01-23
Windbg支持扩展命令和插件，如` sos.dll`用于.NET调试，`pedump`查看PE文件结构。这些工具能极大丰富调试功能。 10. **学习资源** 本教程《windbg经典中文教程.pdf》将详细解释以上概念并提供实例演示，建议结合...
一个查看PE文件内容的小工具——CliPeViewer
weixin_34306676的博客
01-08 1406
一个查看PE文件内容的小工具——CliPeViewer 本文地址：http://www.cnblogs.com/AndersLiu/archive/2009/04/18/cli-pe-viewer-release-1.html 作者：Anders Liu 猛击此链接，下载CliPeViewer：http://files.cnblogs.com/AndersLiu/CliPeV...
windbg-PE完整分析
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
06-16 1328
1.PE结构常用的结构体 [plain] view plain copy 0:001> dt ntdll!*IMAGE*             ntdll!_IMAGE_NT_HEADERS             ntdll!_IMAGE_FILE_HEADER             ntdll!_IMAGE_OPTIONAL_HEADE
使用Windbg认识Ｗindows PE结构
sankernel的博客
02-12 325
0:000> !dh -f notepad File Type: EXECUTABLE IMAGE FILE HEADER VALUES 14C machine (i386) 4 number of sections 559EA6FF time date stamp Fri Jul 10 00:53:19 2015 0 file pointer to symbol table 0...
15.windbg-dds、dps、dqs、PE文件解析
hgy413的专栏
05-14 7569
以下默认windbg加载calc程序 1.d*s dds、dps和dqs命令显示给定范围内存的内容,它们是把内存区域转储出来，并把内存中每个元素都视为一个符号对其进行解析，dds是四字节视为一个符号，dqs是每8字节视为一个符号，dps是根据当前处理器架构来选择最合适的长度 比如要看看当前stack 中保存了哪些函数地址，就可以检查ebp  指向的内存 0:000> dds ebp 000
Windbg查看进程的_EPROCESS结构
never12345678的专栏
10-15 5844
最近研究某驱动DebugPort清零，学习了使用Windbg查看_EPROCESS结构地址，采用Syser下断查找清零代码。下面主要写下Windbg查看进程的_EPROCESS结构，便以后查阅。大家知道，每一个进程都对应一个_EPROCESS结构,我们如何确定一个进程的_EPROCESS地址呢？以notepad.exe为例使用Windbg的Kernel Debug，输入命令lkd> !process 0 0    //查看当前进程PROCESS 8a5e7088 SessionId: 0 Cid: 0ff0
PE查看工具编写
輚至消亡
07-02 889
1. 基础介绍 今天写了一个工具, 使用MFC编写。 该工具有以下功能: 查看PE基础信息 查看PE结构的节表信息 RVA到FOA的转换 添加一个新的空节区 2. 功能演示 界面如下: 演示一下添加新节的功能: 演示一下换算RVA与FOA的功能: 可以看到，其位于.idata节。 3. 核心代码 a. 内存映射技术 PVOID CPEViewDlg::FileSharing(LPCTSTR lpcszFilePathName) { HANDLE hFile = I.
windbg 查看结构体_图解windbg查看Win7结构体
weixin_33708562的博客
02-11 587
首先用windbg打开notepad.exe；dt命令显示局部变量、全局变量或数据类型的信息。它也可以仅显示数据类型。即结构和联合(union)的信息。下面用dt命令查看Win7结构体；查看peb结构； 查看eprocess结构； 查看特定地址的eprocess结构内容; *是通配符；显示所有peb打头的结构体名称； 枚举ntkrnlmp中带"Object"的结构体名称；没有，本机记事本没载入nt...
【调试技术】用户态查看PEB和TEB
此地无银
11-03 558
概述：用户态查看进程 PEB 和 TEB(通过windbg附加或启动调试的exe)
枚举Windows进程中模块的几种方法-PEB内核结构详解
QQ_3094353627的博客
05-06 1771
1. 引言 在诸多的场景中（例如软件测试，软件安全研究等领域）经常需要分析在目标进程中具体加载了哪些模块(DLL)，以及所加载的模块的信息（如模块基地址，映射文件大小等）。获取这windows进程加载的模块信息，曾经有一个行之有效又很便捷的方法，使用windows提供PSAPI(psapi.dll，windows进程状态信息接口)提供的相关的接口就可以快捷的获取进程及进程加载的模块信息。有关PSAPI接口可以参考psapi.h或者微软的官方文档Psapi.h header - Win32 ...
windbg调试学习笔记
波波诸葛伟
12-26 516
汇编&反汇编 u 地址 [长度] 反汇编之后代码Ub地址 [长度] 反汇编之前代码Up地址 [长度] 从物理地址反汇编Uf 地址 反汇编当前函数a 地址 在指定地址处写入汇编 16位 怎样打印某函数调用关系 命令 功能 适用范围 uf /c /D 地址 打印当前函数对其他函数的调用 用户态/内核态 # 函数名 起始地址 l长度 打
查看win10 内核数据结构
SmartFEP的博客
03-19 2141
1、VS2015启动驱动调试后，在调试命令行输入相应的windbg命令， 1）dt nt!_EPROCESS，查看EPROCESS 2）dt _peb，查看peb 3）dt _PEB_LDR_DATA，查看PEB_LDR_DATA 4)dt _LDR_DATA_TABLE_ENTRY ,查看LDR_DATA_TABLE_ENTRY结构定义。 nt!_LDR_DATA_TABLE_ENTR
使用Windbg进行调试：简单教程
它还具有强大的数据查看和分析功能，例如查看寄存器状态、分析内存转储文件（.dmp）以及使用扩展命令（.ext）进行特定的调试操作。 Windbg是一个功能强大的工具，适用于软件开发者、系统管理员以及故障排查专家，...
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值