windbg dt命令显示PE相关数据结构

最新推荐文章于 2024-10-03 14:43:15 发布
最新推荐文章于 2024-10-03 14:43:15 发布
阅读量448 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： PE
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/sankernel/article/details/104266483
本文深入探讨了PE(可移植执行)文件格式的内部结构，详细介绍了ntdll和MyApp模块中包含的各种数据结构，如_IMAGE_NT_HEADERS、_IMAGE_DOS_HEADER、_IMAGE_FILE_HEADER等，这些结构对于理解Windows操作系统下的程序加载和执行至关重要。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

0:001> dt ntdll!*IMAGE_*
          ntdll!_IMAGE_NT_HEADERS
          ntdll!_IMAGE_DOS_HEADER
          ntdll!_IMAGE_FILE_HEADER
          ntdll!_IMAGE_OPTIONAL_HEADER
          ntdll!_IMAGE_DATA_DIRECTORY
          
0:001> dt MyApp*!*IMAGE_*
          MyApp!PIMAGE_DEBUG_DIRECTORY
          MyApp!PIMAGE_RESOURCE_DIRECTORY_ENTRY
          MyApp!PIMAGE_TLS_CALLBACK
          MyApp!PIMAGE_FUNCTION_ENTRY
          MyApp!PIMAGE_EXPORT_DIRECTORY
          MyApp!IMAGE_ARCHITECTURE_HEADER
          MyApp!PIMAGE_AUX_SYMBOL
          MyApp!IMAGE_ALPHA_RUNTIME_FUNCTION_ENTRY
          MyApp!PIMAGE_RESOURCE_DIR_STRING_U
          MyApp!PIMAGE_THUNK_DATA
          MyApp!PIMAGE_RUNTIME_FUNCTION_ENTRY
          MyApp!IMAGE_ROM_HEADERS
          MyApp!PIMAGE_TLS_DIRECTORY64
          MyApp!PIMAGE_SYMBOL
          MyApp!_PIMAGE_RUNTIME_FUNCTION_ENTRY
          MyApp!IMAGE_TLS_DIRECTORY32
          MyApp!PIMAGE_BASE_RELOCATION
          MyApp!IMAGE_FILE_HEADER
          MyApp!IMAGE_DOS_HEADER
          MyApp!PIMAGE_ARCHITECTURE_ENTRY
          MyApp!PIMAGE_DOS_HEADER
          MyApp!IMAGE_RUNTIME_FUNCTION_ENTRY
          MyApp!IMAGE_FUNCTION_ENTRY
          MyApp!PIMAGE_THUNK_DATA32
          MyApp!PIMAGE_SEPARATE_DEBUG_HEADER
          MyApp!PIMAGE_TLS_DIRECTORY32
          MyApp!PIMAGE_IMPORT_DESCRIPTOR
          MyApp!IMAGE_IA64_RUNTIME_FUNCTION_ENTRY
          MyApp!PIMAGE_DATA_DIRECTORY
          MyApp!IMAGE_ARCHITECTURE_ENTRY
          MyApp!PIMAGE_FUNCTION_ENTRY64
          MyApp!IMAGE_DEBUG_MISC
          MyApp!IMAGE_VXD_HEADER
          MyApp!PIMAGE_TLS_DIRECTORY
          MyApp!PIMAGE_VXD_HEADER
          MyApp!IMAGE_COFF_SYMBOLS_HEADER
          MyApp!PIMAGE_THUNK_DATA64
          MyApp!IMAGE_ROM_OPTIONAL_HEADER
          MyApp!PIMAGE_ARCHIVE_MEMBER_HEADER
          MyApp!IMAGE_TLS_DIRECTORY64
          MyApp!PIMAGE_DEBUG_MISC
          MyApp!IMAGE_IMPORT_BY_NAME
          MyApp!IMAGE_FUNCTION_ENTRY64
          MyApp!IMAGE_IMPORT_DESCRIPTOR
          MyApp!PIMAGE_ALPHA64_RUNTIME_FUNCTION_ENTRY
          MyApp!PIMAGE_LOAD_CONFIG_DIRECTORY64
          MyApp!IMAGE_BASE_RELOCATION
          MyApp!IMAGE_EXPORT_DIRECTORY
          MyApp!PIMAGE_ROM_HEADERS
          MyApp!IMAGE_BOUND_IMPORT_DESCRIPTOR
          MyApp!PIMAGE_NT_HEADERS
          MyApp!IMAGE_LINENUMBER
          MyApp!PIMAGE_RESOURCE_DATA_ENTRY
          MyApp!IMAGE_NT_HEADERS
          MyApp!PIMAGE_COFF_SYMBOLS_HEADER
          MyApp!IMAGE_THUNK_DATA
          MyApp!PIMAGE_OS2_HEADER
          MyApp!IMAGE_LOAD_CONFIG_DIRECTORY
          MyApp!IMAGE_SECTION_HEADER
          MyApp!PIMAGE_SECTION_HEADER
          MyApp!IMAGE_BOUND_FORWARDER_REF
          MyApp!IMAGE_TLS_DIRECTORY
          MyApp!PIMAGE_ALPHA_RUNTIME_FUNCTION_ENTRY
          MyApp!PIMAGE_OPTIONAL_HEADER
          MyApp!PIMAGE_OPTIONAL_HEADER32
          MyApp!IMAGE_OPTIONAL_HEADER64
          MyApp!IMAGE_NT_HEADERS32
          MyApp!IMAGE_RESOURCE_DIRECTORY_STRING
          MyApp!IMAGE_THUNK_DATA32
          MyApp!PIMAGE_IA64_RUNTIME_FUNCTION_ENTRY
          MyApp!IMAGE_ARCHIVE_MEMBER_HEADER
          MyApp!IMAGE_DATA_DIRECTORY
          MyApp!PIMAGE_NT_HEADERS32
          MyApp!IMAGE_RESOURCE_DIR_STRING_U
          MyApp!PIMAGE_RESOURCE_DIRECTORY
          MyApp!PIMAGE_LOAD_CONFIG_DIRECTORY
          MyApp!PIMAGE_OPTIONAL_HEADER64
          MyApp!IMAGE_CE_RUNTIME_FUNCTION_ENTRY
          MyApp!PIMAGE_IMPORT_BY_NAME
          MyApp!PIMAGE_AUX_SYMBOL_TOKEN_DEF
          MyApp!PIMAGE_COR20_HEADER
          MyApp!IMAGE_OPTIONAL_HEADER
          MyApp!PIMAGE_RESOURCE_DIRECTORY_STRING
          MyApp!IMAGE_NT_HEADERS64
          MyApp!IMAGE_THUNK_DATA64
          MyApp!PIMAGE_FILE_HEADER
          MyApp!IMAGE_SYMBOL
          MyApp!PIMAGE_CE_RUNTIME_FUNCTION_ENTRY
          MyApp!PIMAGE_RELOCATION
          MyApp!IMAGE_SEPARATE_DEBUG_HEADER
          MyApp!IMAGE_OPTIONAL_HEADER32
          MyApp!PIMAGE_LOAD_CONFIG_DIRECTORY32
          MyApp!IMAGE_OS2_HEADER
          MyApp!PIMAGE_ROM_OPTIONAL_HEADER
          MyApp!PIMAGE_BOUND_FORWARDER_REF
          MyApp!PIMAGE_NT_HEADERS64
          MyApp!IMAGE_RESOURCE_DIRECTORY
          MyApp!IMAGE_RESOURCE_DATA_ENTRY
          MyApp!IMAGE_ALPHA64_RUNTIME_FUNCTION_ENTRY
          MyApp!IMAGE_RELOCATION
          MyApp!PIMAGE_ARCHITECTURE_HEADER
          MyApp!IMAGE_RESOURCE_DIRECTORY_ENTRY
          MyApp!IMAGE_AUX_SYMBOL
          MyApp!PIMAGE_BOUND_IMPORT_DESCRIPTOR
          MyApp!IMAGE_DEBUG_DIRECTORY
          MyApp!PIMAGE_LINENUMBER
          MyApp!_IMAGE_DOS_HEADER
          MyApp!IMAGE_AUX_SYMBOL_TYPE
          MyApp!_IMAGE_OPTIONAL_HEADER64
          MyApp!_IMAGE_AUX_SYMBOL
          MyApp!_IMAGE_RESOURCE_DIRECTORY_ENTRY
          MyApp!_IMAGE_NT_HEADERS
          MyApp!_IMAGE_FUNCTION_ENTRY64
          MyApp!_IMAGE_ROM_HEADERS
          MyApp!_IMAGE_DEBUG_DIRECTORY
          MyApp!_IMAGE_LINENUMBER
          MyApp!_IMAGE_ALPHA_RUNTIME_FUNCTION_ENTRY
          MyApp!_IMAGE_CE_RUNTIME_FUNCTION_ENTRY
          MyApp!_IMAGE_VXD_HEADER
          MyApp!_IMAGE_OPTIONAL_HEADER
          MyApp!_IMAGE_COFF_SYMBOLS_HEADER
          MyApp!_IMAGE_SYMBOL
          MyApp!_IMAGE_THUNK_DATA32
          MyApp!_IMAGE_THUNK_DATA32::<unnamed-type-u1>
          MyApp!_IMAGE_FILE_HEADER
          MyApp!_IMAGE_RELOCATION
          MyApp!_IMAGE_SEPARATE_DEBUG_HEADER
          MyApp!_IMAGE_ARCHIVE_MEMBER_HEADER
          MyApp!_IMAGE_EXPORT_DIRECTORY
          MyApp!IMAGE_LOAD_CONFIG_DIRECTORY32
          MyApp!_IMAGE_RUNTIME_FUNCTION_ENTRY
          MyApp!_IMAGE_RESOURCE_DATA_ENTRY
          MyApp!IMAGE_LOAD_CONFIG_DIRECTORY64
          MyApp!_IMAGE_ALPHA64_RUNTIME_FUNCTION_ENTRY
          MyApp!_IMAGE_BOUND_FORWARDER_REF
          MyApp!_IMAGE_DEBUG_MISC
          MyApp!_IMAGE_FUNCTION_ENTRY
          MyApp!_IMAGE_SECTION_HEADER
          MyApp!_IMAGE_SECTION_HEADER::<unnamed-type-Misc>
          MyApp!_IMAGE_NT_HEADERS64
          MyApp!_IMAGE_RESOURCE_DIR_STRING_U
          MyApp!_IMAGE_RESOURCE_DIRECTORY_STRING
          MyApp!_IMAGE_OS2_HEADER
          MyApp!_IMAGE_TLS_DIRECTORY32
          MyApp!_IMAGE_ROM_OPTIONAL_HEADER
          MyApp!_IMAGE_BOUND_IMPORT_DESCRIPTOR
          MyApp!_IMAGE_LINENUMBER::<unnamed-type-Type>
          MyApp!_IMAGE_DATA_DIRECTORY
          MyApp!_IMAGE_IMPORT_BY_NAME
          MyApp!_IMAGE_BASE_RELOCATION
          MyApp!_IMAGE_THUNK_DATA64
          MyApp!_IMAGE_THUNK_DATA64::<unnamed-type-u1>
          MyApp!_IMAGE_RESOURCE_DIRECTORY
          MyApp!_IMAGE_TLS_DIRECTORY64
          MyApp!IMAGE_COR20_HEADER
          MyApp!_IMAGE_IMPORT_DESCRIPTOR
          MyApp!IMAGE_LOAD_CONFIG_DIRECTORY32_2
          MyApp!_IMAGE_SECTION_HEADER
Windbg调试命令汇总
dvlinker的技术专栏
10-19 2万+
Windbg调试命令汇总
3. windbg 常用命令有哪些
m0_70960708的博客
11-02 115
【代码】3. windbg 常用命令有哪些。
PE文件格式详解(7)
马说@优快云
12-29 2723
调试信息段，.debug　　调试信息位于.debug段之中，同时PE文件格式也支持单独的调试文件（通常由.DBG扩展名标识）作为一种将调试信息集中的方法。调试段包含了调试信息，但是调试目录却位于早先提到的.rdata段之中。这其中每个目录都涉及了.debug段之中的调试信息。调试目录的结构IMAGE_DEBUG_DIRECTORY被定义为：WINNT.Htypedef struct _IMAG
windbg学习23（!peb和PEB结构）
weixin_30487201的博客
01-10 565
调试器用户经常会需要查看在启动调试目标时使用了哪些命令行参数，这个信息是保存在PEB中的，可以通过!peb来获取，这个命令将解析PEB并给出完整的命令行，所有已加载DLL的位置，以及环境变量等. 0:000> !peb PEB at 7ffdf000 InheritedAddressSpace: No ReadImageFileExecOptions: N...
PE文件格式学习（六）：异常表(Exception)
tutucoo
11-07 2888
1.概述 x86系统采用动态的方式构建SEH结构，相比而言x64系统下采用静态的方式处理SEH结构，它保存在PE文件中，通常在.pdata区段。因此本文的例子采用x64编译过的程序。 异常表在资源表的后面。 2.异常表解析 数据目录表的第四个元素指向异常表，RVA指向的是一个IMAGE_IA64_RUNTIME_FUNCTION_ENTRY的结构体，本例的RVA是0xA000（也就是.pdata段...
详解反调试技术
weixin_34228387的博客
03-22 470
为什么80%的码农都做不了架构师？>>> ...
使用.NET NativeAOT模式开发hyper-v平台uefi上windbg调试引擎心得
如鹿渴慕泉水的专栏
08-03 972
使用.NET NativeAOT模式开发hyper-v平台uefi上windbg调试引擎心得
Windbg 命令 总结
Fly Follow the Heart
04-06 3265
基本调试： 0. 内置的帮助命令： ? 显示常用的命令 ? /D 显示常用命令和DML .help 显示.命令 .help /D   以DML形式显示'.'命令（顶部会给出链接） .help /D a* 以DML形式显示a开头的'.'命令 (*为通配符) .hh 打开帮助文件 .hh dt 打开帮助文件，并在索引定位到 dt命令 version 显示调试器以及加载
PE格式系列_0x04：输入表查看（WinDbg+PEview+Stud_PE+Dependency+CFF）
可乐松子的博客
05-30 1303
目的：使用一个具体例子查询输入表的真实模样；notepad.exe加载到内存时，查询输入表的INT，用这个INT中的函数名对应的真实地址填充notepad.exe内存中IAT的过程；PE文件装在完后，通过IAT就可以找到函数在内存中真正的地址 文章目录1.WinDbg查看输入表1.输入表起始地址2.IMAGE_IMPORT_DESCRIPTOR3.INT分析（得函数名）4.IAT分析（填充地址）5.总结2.常用PE工具查看输入表PEviewStud_PEDependency3.参考 1.WinDbg查看.
从PE结构取调试信息 代码
lif12345的专栏
03-04 2014
从PE结构取调试信息 代码
Windows注入与拦截（6） -- 从内存中加载DLL
热门推荐
while(1) { smile(); }
04-09 4万+
Windows提供的API（LoadLibrary, LoadLibraryEx）只支持从文件系统上加载DLL文件，我们无法使用这些API从内存中加载DLL。 但是有些时候，我们的确需要从内存中加载DLL，比如： 对发布的文件数量有限制。我们可以将DLL打包到exe的资源中，程序运行时从调用LoadResource等API读取DLL文件到内存中，然后从内存中加载DLL。 需要对DLL进行压缩...
《Windows PE》4.1导入表
bcdaren的博客
10-03 1674
IMAGE_IMPORT_BY_NAME结构体用于描述PE文件中的导入地址表（Import Address Table，IAT）或原始未绑定导入地址表（Original Unbound Import Address Table）中，通过名称进行导入的函数的信息。然后根据导入表FOA地址，在PE文件中找到导入表描述符的起始地址，循环遍历获取导入表描述符的OriginalFirstThunk字段中保存的RVA地址，将此RVA地址转换为FOA地址，即INT表IMAGE_THUNK_DATA的起始地址。
第一次遇到死锁——记一次程序卡住问题的错误排查过程
纸箱猪的专栏
10-31 1万+
10月24日，周四 　　我负责的游戏启动程序（Launcher）更新上线后，临下班前接到运营消息，反映部分网吧启动Launcher后无反应。跑到客服现场，通过QQ远程桌面观察到如下现象：双击程序图标后，程序出现在任务管理器进程列表里，但无任何其它反应，没有任何界面弹出；然后程序就一直这样无任何响应，只能在任务管理器中把进程杀掉。 　　于是在现场通过Process Explore
PE结构-3
Starr
07-05 531
PE结构-3 文章目录PE结构-39. 异常10. 安全11. 调试 9. 异常 PE文件的异常目录位于.pdata区段，数据目录中的IMAGE_DIRECTORY_ENTRY_EXCEPTION指向此结构。 平台不同，异常结构也不同。x64的异常结构如下： typedef struct _IMAGE_RUNTIME_FUNCTION_ENTRY { DWORD BeginAddress;...
WinDBG查看内核数据结构
Diomedes's Place
12-20 2675
查看详细的模块信息：!lmi nt 枚举所有内核数据结构：dt nt!_* 查看数据结构详细信息：dt nt!_xxx // !lmi nt [查看详细的模块信息] kd> !lmi nt Loaded Module Info: [nt] Module: ntkrnlpa Base Address: 804d8000 Image Name: n
windows64 位 环境 与32位 环境
weixin_30861797的博客
03-17 210
1. LLP64 数据模型 数据模型 short　　int　　long　　longlong　　指针　　　　操作系统类型 ILP32　　 2　　　　 4　　　　4　　 8　　　　　　4　　　　　　win32 LLP64　　 2　　　　4　　　　4　　　　8　　　　　　8　　　　　windows 64 位 LP64　　　2　　　　4　　　　8　　　　8　　　　　　8　　...
学习笔记通过PEB获取kernal32.dll基地址
popkun222的专栏
03-06 1409
原始代码来自PE权威指南 ;------------------------ ; 获取kernel32.dll的基址 ; 从PEB结构中搜索kernel32.dll的基地址 ; 戚利 ; 2010.6.27 ;------------------------ .386 .model flat,stdcall option casemap:none ...
PE文件（1）导入表
nyzdmc的博客
03-02 800
PE文件（1）导入表 概念 导入函数的代码位于一个或者多个DLL中，在调用者程序中只保留一些相关的函数信息，包括函数名及其对应的DLL名等。 对于磁盘上的PE 文件来说，它无法得知这些输入函数将来在内存中的地址，只有当PE 文件被装入内存后，Windows的 加载器才将相关DLL 装入，并将调用导入函数的指令和函数实际所处的地址联系起来。 这就是“动态链接”的概念。动态链接是通过PE 文件...
IAT表详解
cay22的专栏
02-05 8189
http://blog.163.com/ljm1113@126/blog/static/57984452201201485318443/   IAT表详解 IAT的全称是Import Address Table。 对于每一个引入的可执行文件（例如dll），有一个镜像引入描述符(IMAGE_IMPORT_DESCRIPTOR)。 typedef struct _IMAGE_IMPORT_D
windbg内核调试查看pe结构
最新发布
01-15
### 使用 WinDbg 进行内核调试时查看 PE 文件结构 在 WinDbg 中进行内核调试并查看可移植执行体 (PE) 文件结构可以通过特定的命令来实现。这些命令允许深入理解模块加载地址空间及其内部结构。 对于已加载的驱动或其他内核模式组件，可以利用 `!dh` 或者 `.imgscan` 命令获取有关映像头的信息[^1]。具体来说： - **`.imgscan /l`**: 列举当前进程中所有已加载镜像，并显示其基本信息。 ```plaintext .imgscan /l ``` - **`!dh <module_name>`**: 显示指定模块的 DOS 和 NT 头部详情，这有助于了解该模块作为 PE 文件的具体布局情况。 ```plaintext !dh nt ``` 为了更细致地探索 PE 结构中的各个部分，比如节表、导入/导出表等，还可以借助于其他扩展命令如 `!list` 配合符号解析功能来进行进一步的操作。当涉及到具体的内存位置或数据偏移量时，确保已经启用了适当的符号路径设置以便能够正确解释所观察的数据[^2]。 通过上述方法可以在 WinDbg 的内核调试会话里有效地浏览和分析 PE 文件的不同组成部分。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值