当dump一个PE时里边包含寄存器、堆栈、标志寄存器吗？

冥界3大法王 · 发表于 2023-9-2 16:27

本帖最后由冥界3大法王于 2023-9-2 16:28 编辑

书上没写，我也没整太明白。我感觉似乎是没有的。

做了一上午试验，DUMP比较软件执行流，貌似某些种情况下是真实成立的。确实是简单方便高效，但需要一些技巧。

hipojie · 发表于 2023-9-2 16:59

提示: 作者被禁止或删除内容自动屏蔽

月夜克星 · 发表于 2023-9-2 17:03

肯定是不包含的呀，可能是你没找对书，寄存器，堆栈和EFLAGS都是存储运行时信息的。
PE解析器会会先根据PE文件头的信息把PE文件按区块加载映射到一段内存区域里建立堆栈空间根据解析IAT 做一些杂碎的工作，最后把EIP指向EP。
然后才是cpu根据PE文件里的指令改变寄存器 EFLAGS的值压栈出栈等等
所以PE文件本身肯定是不包含这些运行时信息的

冥界3大法王 · 发表于 2023-9-3 08:38

书上是这么写的。

tl;dr · 发表于 2023-9-3 09:33

提示: 作者被禁止或删除内容自动屏蔽

冥界3大法王 · 发表于 2023-9-3 09:54

tl;dr 发表于 2023-9-3 09:33
dump的是内存吗？

Yes sir.

12924869872 · 发表于 2023-9-8 20:03

这是有可能的，电脑休眠就是把进程数据保存在硬盘

帐号		自动登录	找回密码
密码			注册[Register]

hipojie hipojie 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	hipojie 发表于 2023-9-2 16:59 提示: 作者被禁止或删除内容自动屏蔽
	【吾爱破解论坛总版规】 - [让你充分了解吾爱破解论坛行为规则]
	回复支持 1 举报

tl;dr tl;dr 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	tl;dr 发表于 2023-9-3 09:33 提示: 作者被禁止或删除内容自动屏蔽
	如何快速判断一个文件是否为病毒！
	回复支持举报

[讨论] 当dump一个PE时里边包含寄存器、堆栈、标志寄存器吗？