逆向基础笔记

参考：
http://e.vhall.com/435087370

PE格式

Windows的可执行程序(.exe, .dll)是PE(Portable Executable)的格式。

PE文件使用的是一个平面地址空间，所有代码和数据都被合并在一起。

• .text：指令代码
• .rdata：运行时只读数据
• .data：初始化数据块
• .idata：包含其他外来的dll的函数及数据信息，输入表
• .rsrc：模块的资源：图标、菜单、位图等

壳与脱壳

加壳的全称是可执行资源压缩。是保护程序的常用手段，分为压缩壳和加密壳。加过壳的程序可以直接运行。
通常运行后在内存中进行自脱壳操作，达到真正的程序入口点(OEP, Original Entry Points)并恢复函数导入地址表(IAT, Import Address Table)。
这时候，我们在自拓客完毕后，dump此时的程序状态，设置正确的程序入口点，就完成了脱壳操作。
加壳后的程序，IDA无法静态分析里面的代码逻辑，这也是脱壳的目的之一。