两种方法获取文件OEP

读取的字段都是一样的，只是一个直接从PE文件中读取，一个映射到内存后再读取

1.文件直接访问法

[cpp] view plain copy

1. BOOL ReadOEPByFile(LPCTSTR szFileName)  
2. {  
3.     HANDLE hFile;  
4.     hFile=CreateFile(szFileName,GENERIC_READ,FILE_SHARE_READ,0,OPEN_EXISTING,FILE_FLAG_SEQUENTIAL_SCAN,0);  
5.     if (INVALID_HANDLE_VALUE==hFile)  
6.     {  
7.         AfxMessageBox(_T("打开文件失败！"));  
8.         return FALSE;  
9.     }  
10.     DWORD dwOEP,cbRead;  
11.     IMAGE_DOS_HEADER dos_header[sizeof(IMAGE_DOS_HEADER)];//IMAGE_DOS_HEADER dos_header[1];  
12.     if (!ReadFile(hFile,dos_header,sizeof(IMAGE_DOS_HEADER),&cbRead,NULL))  
13.     {  
14.         AfxMessageBox(_T("读取DOS头部失败！"));  
15.         CloseHandle(hFile);  
16.         return FALSE;  
17.     }  
18.     int nEntryPos=dos_header->e_lfanew+40;  
19.     SetFilePointer(hFile,nEntryPos,NULL,FILE_BEGIN);  
20.     if (!ReadFile(hFile,&dwOEP,sizeof(dwOEP),&cbRead,NULL))  
21.     {  
22.         CloseHandle(hFile);  
23.         return FALSE;  
24.     }  
25.     CloseHandle(hFile);  
26.     CString strOEP;  
27.     strOEP.Format(_T("OEP:0x%X"),dwOEP);  
28.     AfxMessageBox(strOEP);  
29.     return TRUE;  
30. }  

2.通过内存映射读取

[cpp] view plain copy

1. BOOL ReadOEPByMemory(LPCTSTR szFileName)  
2. {  
3.     HANDLE hFile;  
4.     HANDLE hMapping;  
5.     PVOID pBaseAddr;  
6.     if ((hFile=CreateFile(szFileName,GENERIC_READ,FILE_SHARE_READ,  
7.         0,OPEN_EXISTING,FILE_FLAG_SEQUENTIAL_SCAN,0))==INVALID_HANDLE_VALUE)  
8.     {  
9.         AfxMessageBox(_T("打开文件失败！"));  
10.         return FALSE;  
11.     }  
12.     //创建内存映射文件  
13.     if (!(hMapping=CreateFileMapping(hFile,0,PAGE_READONLY|SEC_COMMIT,0,0,0)))  
14.     {  
15.         AfxMessageBox(_T("Mapping failed."));  
16.         CloseHandle(hFile);  
17.         return FALSE;  
18.     }  
19.     //把文件映像存入pBaseAddr  
20.     if (!(pBaseAddr=MapViewOfFile(hMapping,FILE_MAP_READ,0,0,0)))  
21.     {  
22.         AfxMessageBox(_T("View Failed."));  
23.         CloseHandle(hMapping);  
24.         CloseHandle(hFile);  
25.         return FALSE;  
26.     }  
27.     IMAGE_DOS_HEADER *dos_header=(IMAGE_DOS_HEADER *)pBaseAddr;  
28.     IMAGE_NT_HEADERS *nt_header=(IMAGE_NT_HEADERS *)((DWORD)pBaseAddr+dos_header->e_lfanew);  
29.     DWORD dwOEP=nt_header->OptionalHeader.AddressOfEntryPoint;  
30.     //清除内存映射和关闭文件  
31.     UnmapViewOfFile(pBaseAddr);  
32.     CloseHandle(hMapping);  
33.     CloseHandle(hFile);  
34.   
35.     CString strOEP;  
36.     strOEP.Format(_T("OEP:0x%X"),dwOEP);  
37.     AfxMessageBox(strOEP);  
38.     return TRUE;  
39. }  

第二种方法要注意DOS STUP与PE头不一定是紧挨着的，一定要通过(DWORD)pBaseAddr+dos_header->e_lfanew定位到IMAGE_NT_HEADERS

如果还要读入口点的代码或其它东西，把PAGE_READONLY|SEC_COMMIT换成PAGE_READONLY|SEC_COMMIT|SEC_IMAGE会给你带来很大的便利

谢谢列宁。