当dump一个PE时里边包含寄存器、堆栈、标志寄存器吗？
本帖最后由 冥界3大法王 于 2023-9-2 16:28 编辑书上没写，我也没整太明白。我感觉似乎是没有的。{:301_974:}
做了一上午试验，DUMP比较软件执行流，貌似某些种情况下是真实成立的。确实是简单方便高效，但需要一些技巧。 肯定是不包含的呀，可能是你没找对书，寄存器，堆栈和EFLAGS都是存储运行时信息的。
PE解析器会会先根据PE文件头的信息把PE文件按区块加载映射到一段内存区域里 建立堆栈空间 根据解析IAT 做一些杂碎的工作，最后把EIP指向EP。
然后才是cpu根据PE文件里的指令改变寄存器 EFLAGS的值 压栈 出栈等等
所以PE文件本身肯定是不包含这些运行时信息的
书上是这么写的。{:301_1004:} tl;dr 发表于 2023-9-3 09:33
dump的是内存吗？
Yes sir. 这是有可能的，电脑休眠就是把进程数据保存在硬盘
页:
[1]