![](https://img-blog.csdnimg.cn/20201014180756918.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
PE文件格式
文章平均质量分 94
记录PE格式相关内容
磨刀砍柴Debug
当前本博客分享破解、算法、调试相关知识。
展开
-
PE格式系列_0x05:输出表和重定位表(.reloc)
输出表简单理解就是一个表格,记录输出函数的信息流程:PE装载器访问PE文件输出表时,通过获取一个函数的地址,通过获取一个函数的名称,但是此时还没有建立对应关系,通过来建立名称和地址的联系示例1:DllDemo中只有一个导出函数MsgBox使用PE工具查看输出表示例2:kernel32.dll的输出表汇总查看2.基址重定位表通常重定位表只有dll文件和开了ASLR的exe才需要关心,因为此时不能保证加载时默认的装载地址不会被其他模块占用简单理解,对于PE加载器来说,他不关心需要修正的地址的具体用途,只原创 2022-06-08 07:45:56 · 743 阅读 · 0 评论 -
PE格式系列_0x04:输入表查看(WinDbg+PEview+Stud_PE+Dependency+CFF)
目的:使用一个具体例子查询输入表的真实模样;notepad.exe加载到内存时,查询输入表的INT,用这个INT中的函数名对应的真实地址填充notepad.exe内存中IAT的过程;PE文件装在完后,通过IAT就可以找到函数在内存中真正的地址文章目录1.WinDbg查看输入表1.输入表起始地址2.IMAGE_IMPORT_DESCRIPTOR3.INT分析(得函数名)4.IAT分析(填充地址)5.总结2.常用PE工具查看输入表PEviewStud_PEDependency3.参考1.WinDbg查看.原创 2022-05-30 01:20:53 · 970 阅读 · 0 评论 -
PE格式系列_0x03:输入表原理+IAT填充流程
1.输入表的原理、2.PE装载器填充IAT的完整过程、3.IAT和INT关系原创 2022-05-30 00:04:37 · 431 阅读 · 0 评论 -
PE格式系列_0x02:PE头部信息(WinDbg查看)
0x02 PE头部信息(WinDbg查看)使用像CFF、Stud_PE等专用工具可以直接查看PE文件的格式,那还有必要学习PE的格式吗?前面学习目的就是答案单纯的看PE格式介绍没什么意思,下面结合分析notepad软件来学习PE格式工具:调试器是WinDbg、PE查看工具是Stud_PE和PEview(任何一款PE工具都可以)提示:WinDbg是windows下调试的神器,如果有时间的话,建议学习一个使用1.notepad基本信息先使用WinDbg简单了解一下C:\Windows\SysWO原创 2022-05-23 00:54:24 · 1553 阅读 · 0 评论 -
PE格式系列_0x01:PE格式-Introduction
0x01 PE格式-Introduction可执行文件的格式是操作系统执行机制的一种反应,研究可执行文件的数据格式和运行机制,是研究逆向和脱壳的基础;windows中可执行文件的格式被称为PE格式下面会将我学习PE格式的一些笔记进行整理(网上有很多类似的文章),汇总成几篇文章,方便自己以后查看;第一篇就先简单对PE有一个直观的印象吧1.学习目的为什么要学习PE文件格式?学习前要想一下学习的目的,不要盲目的瞎学习;因为PE文件格式细节很多,没有目的的学习过几个月基本就会忘记了说一下我的目的,为了原创 2022-05-22 12:46:19 · 348 阅读 · 0 评论