逆向——PE头及导入表应用

逆向——PE头及导入表应用

---

---

前言

本次实验主要是熟悉PE文件格式，通过对PE文件头分析，理解PE文件格式，掌握主要数据结构的定位及其功能，如入口点、节表、节、导入表等。研究如何利用工具对各部分的内容进行读取分析显示，理解RVA、VA、FOA之间的关系；初步掌握汇编程序的调试方法。

本次用到的实验工具：OllyDBG、WinHex、PEditor等

---

提示：以下是本篇文章正文内容，下面案例可供参考

一、PE可执行文件分析

.386
.model flat,stdcall
option casemap:none

include windows.inc
include user32.inc
includelib user32.lib
include kernel32.inc
includelib kernel32.lib

;数据段
.data
szText db ‘HelloWorld’,0
;代码段
.code
start:
invoke MessageBox,NULL,offset szText,NULL,MB_OK
invoke ExitProcess,NULL
end start

二、调试软件OllyDBG

2.1、利用OD软件调试PE文件。

从OD反汇编的结果分析，invoke MessageBox,NULL,offset szText,NULL,MB_OK分解成哪几个指令？

PUSH 0
PUSH 0 ; MB_OK 的值
PUSH OFFSET 00403000 ; szText字符串地址
PUSH 0 ; NULL的值
CALL <JMP.&user32.MessageBoxA> ; 调用user32模块中的MessageBox函数

2.2、怎么理解E8 08000000？

答：使用E8调用Call指令，E8后面跟着的是偏移地址，0800 0000应该高位先读，所以是0000 0008；Call指令把它吓一跳指令压栈，所以有0040 1010+0000 0008=0040 1018，随即跳转到地址0040 1018执行。

2.3、F7单步步入和F8单步步过 有什么不同？

答：