PE文件格式分析系列(文章2)----一个PE文件rdata段的分析(Win32工程Release版)(一)

最新推荐文章于 2022-10-08 00:49:06 发布

原创

最新推荐文章于 2022-10-08 00:49:06 发布 · 4.6k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#import #descriptor #image #mfc #c #user

本文详细分析了一个Win32工程Release版的PE文件，指出其导入表位于.rdata段，不仅包含导入表信息，还有常量如字符串。文中列举了使用的两个DLL（USER32.dll和KERNEL32.dll），并展示了IAT、Import数据目录和IMAGE_IMPORT_DESCRIPTOR结构。此外，还提到了.rdata段的数据排列顺序以及与MFC工程调试版PE文件的区别。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

PE文件格式分析系列(文章2)

一个PE文件rdata段的分析(Win32工程Release版)(一)

在分析MFC工程调试版的PE文件时, 导入表在idata段
而这个Win32工程Release版的PE文件, 导入表在rdata段, 并且rdata段不仅包含导入表信息,
还包含了一些常量, 例如一些字符串信息等. 下面先分析idata段.

IMAGE_DIRECTORY_ENTRY_IMPORT  (01 VirtualAddress:0x0000543C; Size:0x0000003C).rdata
OriginalFirstThunk       Name               FirstThunk    Count   StrName
0x00005514                 0x0000552A    0x0000509C 1          USER32.dll
0x00005478                 0x000057D0    0x00005000   38       KERNEL32.dll

一. 该PE文件使用了2个DLL
分别是:
1. USER32.dll
2. KERNEL32.dll

第2个段 .rdata 0x7DE(内存中实际数据大小) 0x5000(文件中位置) 0x1000(文件对齐大小)
也就是说.rdata 段在0x5000---0x6000(0x5000---0x57DE是有用数据)

Import 数据目录 RVA:543C Size:3C
IAT 数据目录 RVA:5000 Size:A4

这次与MFC工程调试版的PE文件不同, IAT放在前面
明显看到
这是KERNEL32.dll的IAT(0x26 + 1个)
00005000 | BA 56