Win10 X64 PE文件结构分析及其加载机制

cct123 · 发表于 2016-4-29 15:15

PE文件的全称是Portable Executable，意为可移植的可执行的文件，常见的EXE、DLL、OCX、SYS、COM都是PE文件，PE文件是微软Windows操作系统上的程序文件（可能是间接被执行，如DLL）。它是1993年WindowsNT系统引入的新可执行文件格式，到现在已经经过20多年了。虽然使用PE作为可执行文件格式的Windows操作系统已经更换了很多版本，其结构的变化、新特性的增加、文件格式的转换，以及内核的重新定位等，都发生了翻天覆地的变化，硬件架构也从16位发展到现在的64位架构，而这些变化对PE格式的影响却不大。由于PE格式有较好的数据组织方式和数据管理算法，面对如此多的变化却能保持其设计的优雅。

本文通过对WIN10 X64下VS2015编译生成的X64版本的运行文件的研究进行对PE32+文件结构的分析。

文章编辑太费劲了，我把文章发布到链接地址：http://blog.csdn.net/liuyez123/article/details/51281905，有兴趣的朋友可以看看。

筠溪 · 发表于 2017-8-1 08:48

“然后你反汇编它并发现访问一个变量的线性地址位于0x1051d0处。二进制文件的线性地址在装入时将被重定位，并常被假定使用的是优先载入地址。因为你已查明优先载入地址为0x100000，因此我们可开始处理RVA 0x51d0了。因数据节开始于RVA 0x5000处,且有2048字节长，所以它处于数据节中。又因数据节在文件中开始于偏移量0x4800处，所以该变量就可以在文件中的0x4800+0x51d0-0x5000=0x49d0处找到。”
不是说节至少是4096长吗？怎么就2048了。。。。

点击下载 · 发表于 2016-4-29 15:34

提示: 作者被禁止或删除内容自动屏蔽

慢慢的拼凑 · 发表于 2016-4-29 15:52

谢谢分享！！！！！！！！！！！！！！

ml863606 · 发表于 2016-4-29 16:00

看不懂哈哈

Hmily · 发表于 2016-4-29 17:12

@cct123 文章写的很棒，把文章编辑到论坛，方便给与精华。

mrzcpo · 发表于 2016-4-29 17:17

谢谢lz

lz辛苦了

海风爸爸 · 发表于 2016-7-9 08:11

lz是个牛人啊。。。。

9152pojie · 发表于 2016-7-27 11:40

这个可以看看

heyonghua · 发表于 2016-7-30 15:39

认真学习中

冷雪trouble · 发表于 2016-7-31 12:41

感谢分享

帐号		自动登录	找回密码
密码			注册[Register]

点击下载点击下载当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	点击下载发表于 2016-4-29 15:34 吾爱破解论坛没有任何官方QQ群，禁止留联系方式，禁止任何商业交易。提示: 作者被禁止或删除内容自动屏蔽
点击下载点击下载当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	如何升级？如何获得积分？积分对应解释说明！
	回复支持举报

[系统底层] Win10 X64 PE文件结构分析及其加载机制

免费评分