PE文件加载时Section结构中的变化

最新推荐文章于 2022-05-10 11:29:00 发布
原创 最新推荐文章于 2022-05-10 11:29:00 发布 · 1k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#磁盘

本文介绍了PE文件中的SECTION部分，详细解释了Name数组中保存的SECTION名称。此外还讲解了加载过程中涉及的关键概念，如VirtualSize、SizeOfRawData、PointerToRawData及VirtualAddress等。

    PE文件SECTION的名称保存在Name数组中。当PE文件被从磁盘加载到内存的过程中，本地长度为VirtualSize的数据所获得的内存大小为SizeOfRawData；这段数据在磁盘中相对文件头的偏移PointerToRawData，在内存中表现为这些数据的位置距离内存中PE起点为VirtualAddress!

 

PointerToRawData  <----> BaseOfCode

0 <----> ImageBase

VirtualSize <----> SizeOfRawData

VirtualAddress <---->  AddressOfEntryPoint

<---->

<---->

<---->

<---->

 

Linux链接自定义一个section,So文件添加Section段详细说明
weixin_36180515的博客
05-14 1287
简介在逆向Android底层时，一般都或多或少的接触so文件，需要逆向so文件，一般的方法是往so文件植入我们的调试的代码；而通常都是通过添加section段来植入代码；查看本篇文章之前你需要先了解elf文件格式，so文件就是采用这种格式的简单介绍elf文件格式elf文件一般是由elf文件头、program header头(多个)、section段(多个)和section header头(多个组成...
PE文件详解六：PE详解之输入表（导入表）详解2
pjz969的专栏
02-26 826
PE文件详解六：PE详解之输入表（导入表）详解2 输入表结构 　　 　　在 PE文件头的 IMAGE_OPTIONAL_HEADER 结构中的 DataDirectory(数据目录表) 的第二个成员就是指向输入表的。而输入表是以一个 IMAGE_IMPORT_DESCRIPTOR(简称IID) 的数组开始。每个被 PE文件链接进来的 DLL文件都分别对应一个 IID数组结构。
pe文件对齐
goat_2003的博客
06-08 4365
内存对齐与文件对齐 一个pe文件无论在磁盘和内存中存放都会进行对齐，但他们的对齐值会不相同。 PE 文件头里边的FileAligment 定义了磁盘区块的对齐值。每一个区块从对齐值的倍数的偏移位置开始存放。而区块的实际代码或数据的大小不一定刚好是这么多，所以在多余的地方一般以00h 来填充，这就是区块间的间隙。 PE 文件头里边的SectionAligment 定义了内存中区块的对齐值。PE 文件被映射到内存中时，区块总是至少从一个页边界开始。 rva与fov的相互转换 RVA与FOV的相互转换 为.
Matplotlib画散点图统计程序中PE Section Name
旺仔不爱牛奶的博客
05-10 228
请通过 Matplotlib画出一个散点图，给出 MiniData数据集中，Benignware和Malware分别的PE Section Name出现的次数。图的X轴为不同的PE Section Name，图的Y轴为该Name分别在Benignware和Malware中出现的次数。Benignware和Malware要使用的不同的图例
PE文件结构功能和具体代码参数分析
qq_41814777的博客
10-14 939
PE文件结构： 介绍： PE格式是windows下最常用的可执行文件格式，有些应用必须建立在了解PE文件的基础上，如可执行文件的加解密、文件型病毒的查杀等。 分析PE文件，必须要了解文件是如何从磁盘被装载到内存中去的。因此，让我们先熟悉一下PE文件的基本结构。 DOS_HEADER 介绍： 该结构体大小为40h字节，e_magic标识了头部，e_lfanew指明PE文件头在文件中的位置，这个...
PE文件结构分析
热门推荐
river
03-22 1万+
PE文件分析
PE文件结构所有结构体图
08-31
7. **重定位表**：由于PE文件在内存中加载时可能会有地址变化，重定位表存储了代码和数据的修正信息，确保程序正确运行。这由`IMAGE_BASE_RELOCATION`结构体描述。 8. **调试信息**：`IMAGE_DEBUG_DIRECTORY`结构体...
PE文件格式高清结构图
08-23
6. 重定位表：由于PE文件可能被加载到不同的内存地址，因此需要重定位表来修正程序中的相对地址。当程序加载时，加载器会根据这个表调整代码和数据的地址。 7. 程序入口点：PE文件的可选头中指定了程序的入口点，这...
PE结构查看.rar
04-05
7. **重定位表**：当PE文件被加载到内存时，地址可能会发生变化，重定位表用于更新代码和数据的地址。 8. **异常处理表**：定义了程序如何处理异常和错误。 9. **调试信息**：对于开发和调试很有用，包含如符号表...
Windows 10 PE文件结构高清解析指南
- **映射文件**：映射文件可以展示PE文件在内存中加载时的情况，包括内存地址映射和内存保护属性等。映射文件对于理解程序加载过程和执行过程中的内存管理非常重要。“映射 oo.jpg”可能是一个将PE文件结构映射到...
PE文件结构祥解.pdf
12-09
Windows NT为开发环境和应用程序带来的变化中，PE文件格式无疑是最为重要的变革之一。该格式基于UNIX操作系统广泛使用的COFF规范，并且为了保持与早期MS-DOS及Windows操作系统的兼容性，PE文件格式保留了MS-DOS中...
PE文件学习笔记（二）：Section Table解析
Apollon_krj的博客
08-11 4029
Section Table（节表）是记录PE文件中各个节的详细信息的集合，其每个成员是struct _IMAGE_SECTION_HEADER结构体，即节表是一个结构体数组来维护，属于线性结构。而节表的相对起始位置为：紧接着可选PE表。即：DOS头 + 中间空闲及垃圾数据 + NT头（三部分：4字节签名+标准PE头20字节+可选PE头）。 #define IMAGE_SIZEOF_SIGNAT
PE文件windows加载执行过程
weixin_41038905的博客
03-21 1404
Windows进程创建过程 第一阶段：打开目标映像文件，创建Section 由CreateProcess函数完成 字符串采用ASCII字符，则使用CreateProcessA函数 字符串采用Unicode字符，则使用CreateProcessW函数 由于windows内部都是Unicode字符，所以CreateProcessA函数只是将ASCII字符转换成Unicode字符后继续调用的CreateProcessW函数 CreateProcess函数步骤： 1.检查PE文件的有效性 2.为PE文件分配Sect
添加section
weixin_30525825的博客
03-28 204
在SectionEdit.aspx页面的form中填入数据，点击按钮提交。（表示层） 调用btnSave_Click(object sender, EventArgs e)函数 检查section是否已经存在，if (this._activeSection.Id == -1 || this._activeSection.Placeholder...
PE加载过程
qq_58405021的博客
12-05 1585
PE加载过程
c语言section作用,PE文件格式系列（一）——探究PE文件常见Section作用
weixin_39731845的博客
05-16 724
最近由于各种原因想要研究一下PE文件，要彻底研究PE和COFF文件格式当然是非研究微软自己的技术白皮书——《Microsoft Portable Executable and Common Object File Format Specification》不可了。于是花了一点时间看看，有些心得，和大家分享一下。首先本文不是讨论PE文件格式本身的，这属于技术规范的范畴，大家要是感兴趣可以参看上文中提...
写PHP一句话木马客户端遇到的问题
暧昧倾城的专栏
02-08 1882
前面一篇帖子的问题得到解决，在form提交表单中，因为addslashes()会在注入字符前加单引号，所以使用stripslashes()干掉！！！不过是使用我不会的session弄的，大家看看就这句犯了很多错误 ，1、最后eval($_SSESSION[chr(99)])写成这样，没有在末尾加分号！！！2、get_magic_quotes_gpc()总结的单词quotes拼写错误！！！！3、用chr(99)代替字符C，以避免使用引号！！！最后结果是！！！！！
清水河畔数据验证 自动登陆小小分析 论坛自动登陆发帖
暧昧倾城的专栏
10-20 1781
http://bbs.auxten.com/login.php POST /login.php HTTP/1.1 Host: bbs.auxten.com User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:2.0) Gecko/20100101 Firefox/4.0 Keep-Alive: 115 Connection: keep-alive Conten
VC++ 实现dll远程注入代码示例
暧昧倾城的专栏
03-22 1733
<br />#include "windows.h" #include "string.h" #include<iostream> using namespace std; int main() { char* DllPath = "C://Documents and Settings//Administrator//桌面//Temp//apihook.dll"; BOOL bRet = FALSE; //提权 HANDLE hToken; TOKEN_PRIVILEGES
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值