PE节表中是否存在misc.VirtualSize 比SizeofRawData还要大的情况

最新推荐文章于 2024-11-09 21:08:19 发布
最新推荐文章于 2024-11-09 21:08:19 发布
阅读量221 收藏
点赞数 3
分类专栏： PE格式学习 文章标签： windows PE
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43751677/article/details/142664431
版权

确实是存在的,这是win10自带记事本,可以看到 确实是大.所以在申请imagebuffer的时候,还是需要比较大小.但是在还原的时候.只考虑sizeofRawData即可>

我代码抄都抄不明白
关注
专栏目录
PE文件格式总结 - DOS文件头、PE文件头、节表和表详解
dvlinker的技术专栏
11-28 1万+
PE文件格式总结 - DOS文件头、PE文件头、节表和表详解
笔记:PE结构(5)文件缓冲区拉伸到虚拟内存缓冲区
Q324411601的博客
08-31 191
笔记:PE结构(5)文件缓冲区拉伸到虚拟内存缓冲区
PE教程5: Section Table（节表）
benny5609的专栏
06-16 804
到本课为止，我们已经学了许多关于 DOS header 和 PE header 的知识。接下来就该轮到 section table（节表）了。节表其实就是紧挨着 PE header 的一结构数组。该数组成员的数目由 file header (IMAGE_FILE_HEADER) 结构中 NumberOfSections 域的域值来决定。节表结构又命名为 IMAGE_SECTION_HEADER。
滴水逆向三期实践4：节空白区
Rivival_S 的博客
09-22 1077
还记得节与节之间无论是文件中还是内存中都会存在一定的空白区（空隙）。那么可不可以往这里面注入代码呢？ 节表 VirtualSize（Misc）是指节的真实大小，暂且相信这个值的真实性。（后面有更可靠的方法） 那么如果注入代码（硬编码）长度 加上VirtualSize仍然没有超过（覆盖）下一个节在文件中的位置 ， 即 ( VirtualSize + 即注入代码长度 ) <SizeOfRawData 那么就可以往PE文件中注入代码了。在此之前，还需要知道一点其他的知识 为了效果显著...
滴水三期：day30.1-FileBuffer-ImageBuffer
Edimade的博客
05-02 1269
一、FileBuffer到ImageBuffer常见的误区（1.文件执行的总过程>2.SizeOfRawData一定大于Misc.VirtualSize？）>二、模拟PE加载过程>三、内存偏移到文件偏移计算>四、作业（1.C语言实现PE加载>2.编写一个函数，将RVA的值转换成FOA）
5.PE文件之节表(IMAGE_SECTION_HEADER)
kernelhack
10-26 5574
PE头IMAGE_NT_HEADERS后紧跟着节表(也可以理解为IMAGE_OPTIONAL_HEADER后为节表).它由许多个节表项(IMAGE_SECTION_HEADER)组成,每个节表项记录了PE中与某个特定的节有关的信息,如节的属性、节的大小、节在文件和内存中的起始位置等.节表中节的数量由IMAGE_FILE_HEADER.NumberOfSection来定义. IMAGE_SECTION_HEADER 结构及成员含义如下: #define IMAGE_SIZEOF_SECTION_HEA
2.4 PE结构：节表详细解析
CSDN
09-05 4662
节表（Section Table）是Windows PE/COFF格式的可执行文件中一个非常重要的数据结构，它记录了各个代码段、数据段、资源段、重定向表等在文件中的位置和大小信息，是操作系统加载文件时根据节表来进行各个段的映射和初始化的重要依据。节表中的每个记录则被称为`IMAGE_SECTION_HEADER`，它记录了一个段的各种属性信息和在文件中的位置和大小等信息，一个文件可以由多个`IMAGE_SECTION_HEADER`构成。
PE文件（三）节表
2301_78838647的博客
04-26 1074
Name数组的长度最大为8字节，如果定义节的名称为.text，由于.text对应的ASCII码分别为0x2E， 0x74， 0x65， 0x78，0x74，所以Name数组中的数据为2E 74 65 78 74 00 00 00，一共8字节。所有的节表一起记录了该.exe文件中所有的节的信息，每一个节都有对应的节表来存储信息，所有的节对应的节表组合在一起就构成了PE文件的节表结构。内存中的地址：节表在4GB内存中的地址要加上imagebase的值，才是节表真正在内存中的起始地址。
PE文件实战教程之手动实现新增节
weixin_43742894的博客
04-01 1487
前面我们说过在空白节添加代码，想要更多空间的话，可以扩大节，但是在最后一个节进行扩大的话，还需要修改原来节的属性，比较麻烦，所以不如直接新增一个节！ 并且我们通过手动新增节，可以直观地看到非常多的细节，帮助我们理解原理！ 手动实现新增节什么是新增一个节？了解一下节表新增节表的步骤1.判断是否有足够的空间增加一个新节.2.节表新增一个成员，在原最后一个成员后面添加3.修改节的数量4 修改sizeOfImage的大小5.再原有数据的最后，新增一个节的数据(内存对齐的整数倍)6 修正新增节表的属性节.Virt.
手动修改PE文件：修改节表
当我在写代码的时候我在写什么
11-06 4035
目前想到的关于修改节表就是新增节和节表移位，其它的改节的读写什么的就改个Flag而已就不说了。以后有新的想法再添加。 1.新增节 现在很多解析PE格式的软件都有添加节的功能，具体代码怎么写，下面就说一下。PE格式结构排布顺序是这样：Dos头->DosStub->NT头->节表->Padding->节内容。 在节表之后因为文件对齐的关系，可能会多出一段00，这一段00就可以用来
PE文件格式---节和节表
aod83029的博客
10-09 1047
17.1.4 节表和节 从排列位置来看，PE文件在DOS部分和PE文件头部分以后就是节表和多个不同的节（如图17.1中的③和④所示）。要理解什么是节表，什么是节以及它们之间的关系，那就首先要了解Windows是如何将PE文件映射到内存的。 1. PE文件到内存的映射 在执行一个PE文件的时候，Windows并不在一开始就将整个文件读入内存，而是采用与内存 映射文件类似的机制，...
C++STL容器详解——list
未知陨落的博客
11-06 976
list是可以在常数范围内在任意位置进行插入和删除的序列式容器，并且该容器可以前后双向迭代
【WRF理论第七期】WPS预处理
WW、forever的博客
11-06 1309
【WRF理论第七期】WPS预处理
Leetcode刷题
最新发布
努力码字中······
11-09 379
中间结点——计数思想和二级指针思想
list集合常见去重方式以及效率对比
hu961691590的专栏
11-06 492
java list集合去重效率对比，从LinkedHashSet、for循环、list流toSet方式、list流distinct方式等4种常用去重方式，分别做10W数据到1000W数据去重耗时测试，帮助在实际开发中根据场景选择最适合的去重方式
Java 基础教学：高级特性与实战-集合框架
世间万物皆不如你
11-05 355
Java 集合框架提供了一组丰富的类和接口，用于在应用程序中高效地管理数据集合。ListSet和Map是最基本的集合类型，每种类型都有不同的特点和用途。了解何时使用哪种类型的集合以及如何正确地使用它们，对于编写高效、易于维护的 Java 程序至关重要。
.NET使用SqlSugar实现单列批量更新的几种实现和对比
mengningyun6826的博客
11-06 494
.NET使用SqlSugar实现单列批量更新的几种实现和对比
Starocks中的一致性检查ConsistencyChecker
monkeyboy_tech的博客
11-06 973
其中涉及到的 变量为 consistency_check_end_time consistency_check_start_time 以及 MAX_JOB_NUM。把任务提交到后端的backend中去执行,主要代码在。AgentBatchTask.run方法中。本文基于Starrocks 3.1.7。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值