【PE结构】3.区段头

最新推荐文章于 2024-11-25 13:11:10 发布
原创 最新推荐文章于 2024-11-25 13:11:10 发布 · 2.1k 阅读 · 5 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#PE结构 #区段头

本文详细介绍了PE文件中的区段头，包括其在PE结构中的位置、作用和重要属性。区段头存储了PE文件主体的属性，如代码段（.text）、数据段（.data）、未初始化数据段（.bss）、只读数据段（.rdata）等。文章还列举了不同编译器生成的PE文件中常见的区段配置。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一、前言
二、PE整体结构
三、DOS头
四、NT头
    4.1.文件头
    4.2.扩展头
五、区段头
最低0.47元/天 解锁文章

200万优质内容无限畅学
PE格式区段表学习
字节跳动
12-12 580
1 网址 PE格式解析-区段表及导入表结构详解 2 区段结构图
【PE结构】1.PE文件结构、DOS头
SMOne
06-22 1503
一、前言二、PE整体结构三、DOS头四、NT头    4.1.文件头    4.2.扩展头五、区段头六、导出表七、导入表八、资源表九、其他表一、前言PE（PortableExecutable）文件，也就是Windows操作系统上的可执行文件，不仅仅是扩展名为EXE的文件，还包括DLL、SYS、COM、OCX等多种文件。Windows操作系统树大招风，运行在上面的各种应用程序（PE文件）自然成了很多...
易语言PE结构查看
07-21
易语言PE结构查看源码,PE结构查看,子程序1,初始化PE基本信息,判断是否为标准PE结构,定义数据长度,计算偏差,判断是否存在输出表,判断是否存在输入表,查询PE导入表,查询PE输出表
PE代码段中的数据
weixin_34292402的博客
07-03 398
PE代码段中可能包含一些数据，比如 optional header中的data directory会索引到一些数据，比如import/export table等等； 还有一些jump table/switch table等等。 一般来说，direct/indirect call/branch的目标，可能是代码，也可能是数据，比如： mov eax, offset_funccall eax ...
易语言取PE文件区段源码-易语言
06-13
易语言取PE文件区段源码
获取PE文件的区段表
十年磨一剑，霜刃未曾试!
05-08 4115
 //清空列表控件 m_ListCtrlSection.DeleteAllItems(); IMAGE_DOS_HEADER DosHeader = {0}; IMAGE_FILE_HEADER FileHeader = {0}; HANDLE  hFile = INVALID_HANDLE_VALUE; DWORD  dwReadLen = 0; WORD  NumOfSec = 0; //区段表个数 IMAGE_SECTION_HEADER *pSecHeader = NULL; //打开文件 hFil
取PE文件区段.rar
04-06
3. **取PE文件区段的步骤**： - **读取PE头**：首先需要读取文件的DOS头和随后的PE头，以了解文件的基本结构。 - **解析节表**：通过PE头找到节表，获取每个节的信息。 - **定位区段**：根据节表中的信息，计算出...
PE文件结构详解之头信息解析
meis27461的博客
06-03 1380
PE文件（Portable Executable File）是Windows上最常见的可执行文件，按文件后缀来说就是.exe.dll文件，还有一些其他的文件，例如.sys系统文件，不过最常见以及常用的就是.exe和.dll，在初学阶段狭义上也可以就把PE文件就理解成.exe和.dll文件。其中的e_magic参数可以用来判断这个文件是不是PE文件。e_lfanew表示的是新的PE头的偏移位置，例如程序的起始地址是0x01，e_lfanew的值是0xF0，那么新的PE头的位置就是0x01+0xF0。
PE结构详解
热门推荐
比尔丁子
03-01 3万+
1 基本概念 下表描述了贯穿于本文中的一些概念： 名称 描述 地址 是“虚拟地址”而不是“物理地址”。为什么不是“物理地址”呢？因为数据在内存的位置经常在变，这样可以节省内存开支、避开错误的内存位置等的优势。同时用户并不需要知道具体的“真实地址”，因为系统自己会为程序准备好内存空间的（只要内存足够大） 镜像文件 包含以EXE文件为代表的“可执行文件”、以D
DLL引入表重定位 .reloc
haungrui的专栏，水底深呼吸
03-27 4401
   前几天日，在做彩虹显IP补丁程序的时候，需要将原格式化字符串从"%d.%d.*.*"修改成"%d.%d.%d.%d"以使其能显示完整的IP，在补丁代码中需要引用该字符串，于是直接从原代码中copy了一段引用该字符串的代码。头几天还能正常工作，不知什么原因程序突然无法运行了，打开调试器跟踪才发现问题就出在对字符串的引用上，模块载入后的基址与前几天相比发生了改变，补丁中对字符串的引用指向了一个无
原创易语言版_EXE分析器[PE解析]_可分析DLL函数_导入函数_分析软件三大头_移动表-易语言
06-11
原创易语言 版_EXE分析器[PE解析]_可分析DLL函数_导入函数_分析软件三大头_移动表 a.可分进程shuj: 1.进程列表 2.进程模块 模块名 模块句柄 模块基址 模块大小 模块路径 3.通过特征码扫描易语言的程序 b.移动EXE文件到分析器即可对这个软件进行分析         1.可以快速分析PE的一些信息 比如         当前选中程序路径：D:\Program Files (x86)\Tencent\WeChat\WeChat.exe         模块句柄：0x00400000         主模块地址：0x00400000         主模块大小：0x00005000         模块数量：74         内存镜像基址：0x00400000         内存镜像大小：0x00079000         节数量：6         所有头大小：1024 c.分析DOS头：         PE标志 标志PE头的地址 d.分析NT头 e.可以分析标准PE头         1.机器码         2.节的数量         3.PE文件的特征值         4.可选PE头的大小         5.符号的数量         ... f.分析可选PE头         1.机器型号         2.链接器版本         3.代码节的RVa         4.shuj节rva         5.内存中节对其和文件对其值         6.ImaeBase 镜像基址         7.SizeOfImage 整个程序在内存中占用的空间         8.所有头大小         9.程序入口点         ..... g.可以分析shuj目录地址         1.导入表         2.导出表         3.zy表         4.IAT表         5.绑定导入表         ...... j.可以分析节表         Name：  .text          [节名称]         VirtualSize[内存中大小(对齐前的长度)]         VirtualAddress[节区在内存中的偏移地址(RVA)]         SizeOfRawData[文件中大小(对齐后的长度)]         PointerToRawData [文件中偏移(OffSet)]         Characteristics[标志(块属性)] l.可以分析DLL软件到哪些函数，可以分析DLL导出了哪些函数 p.可以分析软件的重定位表 以及移动导出表操作，移动导入表操作，偏移转换器。
易语言PE头源码,易语言编译器部分源码,易语言简单实现语法识别及
07-22
易语言简单实现语法识别及程序编译源码,简单实现语法识别及程序编译,DebugCode,LoadMain_DebugMode,Call_RunCode,Call_Fuction,判断函数,过滤备注,Xor,通信_加入调试信息
符号表和重定位表
侯仕奇的博客
07-01 709
ELF 文件：符号表存储在.symtab或.dynsym段，重定位表存储在.rel.text.rel.data等段。PE 文件：符号表存储在 COFF 符号表部分，重定位表存储在.reloc段。Mach-O 文件：符号表存储在LC_SYMTAB指定的位置，重定位表存储在指定的位置。这些表在程序的加载和执行过程中发挥关键作用，确保符号的正确解析和地址的正确调整。
pe文件节区的删除和增加
m0_62690279的博客
04-10 1723
pe文件节区的删除和增加 节区（.reloc）的删除（按照《逆核》书中的步骤来进行） 整个过程需要四个步骤： 1.删除节区头 2.删除节区 3.修改节区数（number of section） 4.修改映像大小（size of image） 删除节区头 在hxd中找到rva从270到297区域，用0填充 删除节区内容 在hxd中找到poiner to raw data（磁盘中地址c000），删除其后面的所有内容 修改节区数量 找到文件头中的 number of section 同样在hxd中修改其
PE格式系列_0x05：输出表和重定位表(.reloc)
可乐松子的博客
06-08 932
输出表简单理解就是一个表格，记录输出函数的信息 流程：PE装载器访问PE文件输出表时，通过获取一个函数的地址，通过获取一个函数的名称，但是此时还没有建立对应关系，通过来建立名称和地址的联系示例1：DllDemo中只有一个导出函数MsgBox 使用PE工具查看输出表示例2：kernel32.dll的输出表汇总查看 2.基址重定位表 通常重定位表只有dll文件和开了ASLR的exe才需要关心，因为此时不能保证加载时默认的装载地址不会被其他模块占用简单理解，对于PE加载器来说，他不关心需要修正的地址的具体用途，只
浅谈PE文件结构（四）
weixin_43137410的博客
07-02 1621
完结啦！撒花！
【破解教程】PE文件格式详解(下)
一个人的软件艺术
02-28 1132
<br /><br />PE文件格式详解(下)<br />预定义段<br />一个Windows NT的应用程序典型地拥有9个预定义段，它们是.text、.bss、.rdata、.data、.rsrc、.edata、.idata、.pdata和.debug。一些应用程序不需要所有的这些段，同样还有一些应用程序为了自己特殊的需要而定义了更多的段。这种做法与MS-DOS和Windows 3.1中的代码段和数据段相似。事实上，应用程序定义一个独特的段的方法是使用标准编译器来指示对代码段和数据段的命名，或者使用名称
基础免杀 从.rsrc加载shellcode上线
最新发布
2401_83799022的博客
11-25 381
段是PE文件中的一个特定部分，专门用来存储资源数据。这些资源通常包括图标、位图、字符串表、对话框、菜单、版本信息、字体等。这里选择讲shellcode转英文单词 从资源文件读取出来之后再解密。具体的shellcode加载方式不在此探讨 在这使用传统的指针执行。将shellcode修改扩展名为ico 并导入。.rsrc的内存属性是只读 开一块新内存拷过去。获取指定资源的信息块的句柄 传给。指向资源第一个字节的指针。的熵值极高 达到7.99。通过die可以看见此时。从当前进程中查找资源。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值