相关推荐

PE文件格式详解pdf中文版

详细地讲解PE格式文件，适合初学者对PE格式文件有个全面地了解

PE文件结构详解 --（完整版）

From：https://blog.csdn.net/adam001521/article/details/84658708 PE结构详解：https://www.cnblogs.com/zheh/p/4008268.html PE格式解析-区段表及导入表结构详解：https://blog.csdn.net/qq_30145355/article/d...

PE文件解析-全局指针表与线程局部存储（TLS）

一、全局指针表     PE文件头可选映像头中数据目录表的第9成员IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_DIRECTORY_ENTRY_GLOBALPTR]指向全局指针。     在x86与x64系列平台没有使用全局指针表，目前只应用于MIPS等平台上，多用于参数传递。 二、线程局部存储（TLS） 1.位置与简介     PE文件头可选映像头中...

PE文件格式概述

本章提要·           PE文件格式概述·           PE文件结构·           如何获取PE文件中的OEP·           如何获取PE文件中的资源·           如何修改PE文件使其显示MessageBox的实例2.1  引言通常Windows下的EXE文件都采用PE格式。PE是英文Portable Executable的缩写

PE文件格式学习

目录 IMAGE_DOS_HEADER_STRUCT e_lfanew IMAGE_NT_HEADER Signature IMAGE_FILE_HEADER Machine NumberOfSections TimeDateStamp PointerToSymbolTable &NumberOfSymbols SizeOfOptionalHeader Characteristics IMAGE_OPTIONAL_HEADER Magic MajorLinkerV...

PE文件格式详解

三千风雨三千雪 三千风雪我在写 流了一共三千血 你却始终不了解 简介 PE文件使用的是一个平面地址空间，所有的代码和数据都合并在一起，组成了一个很大的结构； 文件被分为不同的区块(Section，又成为区段或节等)，区块中包含代码和数据，各个区块按页边界对齐； 区块没有大小限制，是一个连续结构；每一个块都有其自己的属性，如是否包含代码，是否可读可写等； PE文件的构成 MS-DOS头部 每个...

滴水三期：day28.1-PE头字段说明

一、PE头字段>二、DOS头>三、PE标记>四、标准PE头>五、可选PE头>六、可执行文件的读取到装入内存过程

C语言——PE文件解析（完整版）

此次PE文件解析的内容：PE头、节表、导入表、导出表、重定位表 语言：C语言 编译器：VS2013 运行环境：win10 注：由于时间（懒）关系，备注的比较少，看不懂的地方，欢迎留言一起交流，也欢迎指正不当之处 #include <stdio.h> #include <windows.h> IMAGE_DOS_HEADER DosHeader; PIMAGE_...

代码保护软件VMProtect用户手册之内置脚本的使用（2）——PE文件

VMProtect是一种很可靠的工具，可以保护应用程序代码免受分析和破解，但只有在应用程序内保护机制正确构建且没有可能破坏整个保护的严重错误的情况下，才能实现最好的效果。//返回给定地址的部分。//返回具有给定名称的导出函数。//返回给定地址的元素。//返回带有给定索引的导入函数。//返回具有给定名称的资源。//返回具有给定名称的资源。//返回具有给定索引的体系结构。//返回具有给定名称的库。//返回给定类型的目录。//返回给定类型的资源。//返回具有给定索引的目录。//返回具有给定索引的导出函数。

编写PE文件解析器（三）

下面有几个表网上资料比较少，因为几乎用不到，我查文档写写吧，这篇写得比较久很抱歉。 7、IMAGE_DIRECTORY_ENTRY_EXCEPTION【异常处理表】 CPU特定的并且基于表的异常处理。用于除x86之外的其它CPU上。偏移到一个IMAGE_XXX_RUNTIME_FUNCTION_ENTRY数组，根据文件头的Machine来确定结构，64位用IMAGE_IA64_RUNT

lordPE转自http://blog.sina.com.cn/s/blog_6e8f83bc01014115.html

EntryPoint: 入口点,程序在执行时的第一行代码的地址应该就是这个值   ImageBase: 基地址，文件执行时将被映射到指定内存地址中，这个初始内存地址称为基址。基地址的值由PE文件本身设定的，按默认设置，Visual C++建立的exe文件基地址是00400000h，DLL文件的基地址是1000000h，但是在创建应用程序的exe文件的时候可以改变这个地址。方法是在链接应

PE文件格式详解(3)

PE可选头部　　PE可执行文件中接下来的224个字节组成了PE可选头部。虽然它的名字是“可选头部”，但是请确信：这个头部并非“可选”，而是“必需”的。OPTHDROFFSET宏可以获得指向可选头部的指针：PEFILE.H#define OPTHDROFFSET(a) ((LPVOID)((BYTE *)a + /                        ((PIMAGE_DOS_HEAD

PE结构详解

1 基本概念 下表描述了贯穿于本文中的一些概念： 名称 描述 地址 是“虚拟地址”而不是“物理地址”。为什么不是“物理地址”呢？因为数据在内存的位置经常在变，这样可以节省内存开支、避开错误的内存位置等的优势。同时用户并不需要知道具体的“真实地址”，因为系统自己会为程序准备好内存空间的（只要内存足够大） 镜像文件 包含以EXE文件为代表的“可执行文件”、以D

PE文件结构详解（三）PE导出表

转自：http://blog.csdn.net/evileagle/article/details/12176797 上篇文章 PE文件结构详解（二）可执行文件头 的结尾出现了一个大数组，这个数组中的每一项都是一个特定的结构，通过函数获取数组中的项可以用RtlImageDirectoryEntryToData函数，DataDirectory中的每一项都可以用这个函数获取，函数原型如下：

PE文件格式详解(下)

预定义段   一个Windows NT的应用程序典型地拥有9个预定义段，它们是.text、.bss、.rdata、.data、.rsrc、.edata、.idata、.pdata和.debug。一些应用程序不需要所有的这些段，同样还有一些应用程序为了自己特殊的需要而定义了更多的段。这种做法与MS-DOS和Windows 3.1中的代码段和数据段相似。事实上，应用程序定义一个独特的段的方法是使用标

PE文件解析-文件头与整体介绍

一、PE的基本概念     PE（Portable Execute）文件是Windows下可执行文件的总称，常见的有DLL，EXE，OCX，SYS等，事实上，一个文件是否是PE文件与其扩展名无关，PE文件可以是任何扩展名。     认识PE文件不是作为单一内存映射文件被装入内存是很重要的。Windows加载器（又称PE加载器）遍历PE文件并决定文件的哪一部分被映射，这种映射方式是将文件较高的偏移...

PE文件格式详解（附有原文和源代码，逆向工程的基础教程）

此文的英文原文为The Portable Executable File Format from Top to Bottom，我找到了两篇不同出处的译文，题名分别为《PE文件格式详解》和《可移植的可执行文件格式全接触》。并且搜集到了文章中所提到的两个附件PEF2034B.ZIP和PEF2034C.ZIP。压缩为ZIP上传共享并作为备份。

PE文件之PE映像尺寸详解

pe映像就是pe文件加载到内存中的总尺寸，大部分情况下（也可以认为始终就是这样，因为没有资料说必须是这样，但经过试验发现总是为一固定值。为了此文的严谨性，此处用了“大部分情况下”）这个尺寸是以4096字节对其的，这取决于windows的内存机制，内存页的大小总是4096字节。这种情况在磁盘文件中也有所表现，我们可以在磁盘中新建一个txt文件，在里面写入一个字符“a” 并保存。这时我们查看一下此文件

PE文件学习（二）数据目录表之导出表与导入表

数据目录表是PE中比较重要的一个组成部分，其结构如下： IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]#define IMAGE_DIRECTORY_ENTRY_EXPORT 0 //导出表 #define IMAGE_DIRECTORY_ENTRY_IMPORT 1

PE 资源表

前言 我们在window开发中需要很多资源比如ico和accelerator,dialog这些资源都被存放在PE文件的.rsrc节中。 首先我们需要明白PE存储方式才好解析： 首先是三个三级目录最后才是真正的资源，其中第三个目录使用LCID进行区分地区.具体参阅 谈谈Windows程序中的字符编码 //winnt.h #define IMAGE_DIRECTORY_ENTRY_RESOURCE 2 // Resource Directory 我们举例某个工程 你可以看到这个工程有两个