使用windbg查看PE结构

最新推荐文章于 2025-06-24 13:05:58 发布
最新推荐文章于 2025-06-24 13:05:58 发布 · 368 阅读 · 0
文章标签：

#操作系统 #c/c++

本文介绍如何使用Windbg查看PE结构，并提供了实验环境的具体配置，包括操作系统和编译器版本等信息。文中还提到了ntdll.dll模块中一定包含PE结构符号。

使用windbg查看PE结构

实验环境：

WIN732bit

编译器：

Microsoft(R)MacroAssemblerVersion6.14.8444

Microsoft(R)32-bitC/C++OptimizingCompilerVersion15.00.30729.01for80x86

查看模块PE结构大体情况：


查看模块PE结构详细情况：

EXE文件中，不一定含有PE结构符号,但ntdll.dll中是一定有的。获得这些结构符号之后，在dt命令中可以直接使用，可以不加模块名，如：dt_IMAGE_DOS_HEADER00400000



iteye_18800
关注
使用Windbg分析dump文件定位软件异常的方法与操作步骤
dvlinker的技术专栏
03-04 7万+
本文详细讲述了使用Windbg分析dump文件的一般步骤与诸多细节，并给出了一个实战分析实例，有一定的实战参考价值。
Windbg使用详解
热门推荐
dvlinker的技术专栏
10-07 5万+
本文详细介绍了Windows调试工具Windbg的安装与使用，并给出多个实战问题分析实例。
WinDbg查看notepad的PE结构
hahaha233330的博客
06-02 351
打开notepad，再打开windbg，File → Attach to a Process，选择notepad.exe，连接进程。 输入命令 !dh -f notepad 查看进程号。 输入命令 !db 进程号 l400 查看notepad的PE结构。
PE文件结构简析-windbg
06-15
PE文件结构简析，pe头文件是学习windows的一个重要过程，关于pe可以使用windbg调试器。
PE格式系列_0x02：PE头部信息（WinDbg查看）
可乐松子的博客
05-23 1997
0x02 PE头部信息（WinDbg查看） 使用像CFF、Stud_PE等专用工具可以直接查看PE文件的格式，那还有必要学习PE的格式吗？前面学习目的就是答案 单纯的看PE格式介绍没什么意思，下面结合分析notepad软件来学习PE格式 工具：调试器是WinDbg、PE查看工具是Stud_PE和PEview（任何一款PE工具都可以） 提示：WinDbg是windows下调试的神器，如果有时间的话，建议学习一个使用 1.notepad基本信息 先使用WinDbg简单了解一下C:\Windows\SysWO
使用Windbg认识Ｗindows PE结构
sankernel的博客
02-12 381
0:000> !dh -f notepad File Type: EXECUTABLE IMAGE FILE HEADER VALUES 14C machine (i386) 4 number of sections 559EA6FF time date stamp Fri Jul 10 00:53:19 2015 0 file pointer to symbol table 0...
使用Windbg分析dump文件排查C++软件异常的一般步骤与要点分享
dvlinker的技术专栏
10-16 3万+
本文详细总结了使用Windbg静态分析dump文件去排查C++软件异常的一般步骤与方法，供大家借鉴或参考。
windbg内核调试查看pe结构
01-15
### 使用 WinDbg 进行内核调试时查看 PE 文件结构 在 WinDbg 中进行内核调试并查看可移植执行体 (PE) 文件结构可以通过特定的命令来实现。这些命令允许深入理解模块加载地址空间及其内部结构。 对于已加载的驱动或...
windbg-PE完整分析
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
06-16 1401
1.PE结构常用的结构体 [plain] view plain copy 0:001> dt ntdll!*IMAGE*             ntdll!_IMAGE_NT_HEADERS             ntdll!_IMAGE_FILE_HEADER             ntdll!_IMAGE_OPTIONAL_HEADE
windbg学习22（!dh和!lmi)
weixin_30950887的博客
01-08 212
!dh:扩展显示指定映像的头部 -h 在调试器命令窗口中显示该扩展命令的帮助文本。 0:004> !dh -h Usage: dh [options] address Dumps headers from an image based at address Options: -a Dump everything -f Dump fil...
Windbg显示PE信息
weixin_33979363的博客
06-29 241
!dh 命令 kd> !dh 7c800000 File Type: DLL FILE HEADER VALUES 14C machine (i386) 4 number of sections 4121457C time date stamp Tue Aug 17 07:38:36 2004 0 file pointer to...
使用windbg查看PE文件格式
nevil的专栏
08-15 1892
DOS Header & NT Header: Data Directory: kd> !dh 0040000 Export Table: Import Table:
windbg分析PE导入导出表
shuishan_lmy的博客
05-22 1154
15.windbg-dds、dps、dqs、PE文件解析
hgy413的专栏
05-14 7964
以下默认windbg加载calc程序 1.d*s dds、dps和dqs命令显示给定范围内存的内容,它们是把内存区域转储出来，并把内存中每个元素都视为一个符号对其进行解析，dds是四字节视为一个符号，dqs是每8字节视为一个符号，dps是根据当前处理器架构来选择最合适的长度 比如要看看当前stack 中保存了哪些函数地址，就可以检查ebp  指向的内存 0:000> dds ebp 000
深入解析Windows PE文件结构：PeViewer工具指南
最新发布
weixin_36431145的博客
06-24 677
PE文件是一种数据结构，用于存储可执行程序和DLL。它包含了一系列的头部信息，如DOS头（DOS MZ header）、PE头（PE header）和节表（Section Table）。其中，DOS头确保了在旧版DOS系统上的兼容性；PE头提供了文件的元数据和执行所需的信息；节表则描述了文件中各部分（节）的内存映射信息。PE格式的主要特点包括：模块化：通过节表组织代码和数据，便于加载和管理。地址空间布局随机化（ASLR）：支持操作系统随机化程序加载地址，增加系统的安全性。
记录windbg调试使用
weixin_41725706的博客
11-05 857
x64windbg调试进程和线程结构体
windbg调试学习笔记
波波诸葛伟
12-26 585
汇编&反汇编 u 地址 [长度] 反汇编之后代码Ub地址 [长度] 反汇编之前代码Up地址 [长度] 从物理地址反汇编Uf 地址 反汇编当前函数a 地址 在指定地址处写入汇编 16位 怎样打印某函数调用关系 命令 功能 适用范围 uf /c /D 地址 打印当前函数对其他函数的调用 用户态/内核态 # 函数名 起始地址 l长度 打
关于在win8.1（64位）上编写汇编教学
编程的取经之路
12-10 1069
首先，声明一下博主是一个刚学汇编的萌新，一个人摸索也感觉有点费时间，所以写下这种快速实现的方法。当然在高手眼里肯定显得稚嫩，各位看官见谅。 First 你要下载一个DOSBOX（因为入门一般学的是WIN32汇编是无法直接在64位上得出的，所以得借助虚拟机，博主下的是DOSBox 0.74） 下载完以后，安装，博主放在了C盘（安装路径在我看来不太重要默认就可以） 然后跳出z:\>（这里是重点）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值