使用windbg查看PE结构

最新推荐文章于 2024-10-16 10:01:53 发布
原创 最新推荐文章于 2024-10-16 10:01:53 发布 · 4.9k 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#microsoft #编译器 #header #image #dos #exe

本文介绍了在Windows 7 32位环境下，如何使用Windbg调试器查看PE（Portable Executable）文件结构。通过实验展示了查看模块PE结构的大致情况和详细信息，强调了虽然不是所有EXE文件都包含PE结构符号，但ntdll.dll必定存在。文章还提到了如何利用dt命令直接操作如_IMAGE_DOS_HEADER等结构。

使用windbg查看PE结构

实验环境：

WIN7 32bit 

编译器：

Microsoft (R) Macro Assembler Version 6.14.8444

Microsoft (R) 32-bit C/C++ Optimizing Compiler Version 15.00.30729.01 for 80x86

查看模块PE结构大体情况：


查看模块PE结构详细情况：

    EXE文件中，不一定含有

最低0.47元/天 解锁文章
使用Windbg分析dump文件定位软件异常的方法与操作步骤
dvlinker的技术专栏
03-04 7万+
本文详细讲述了使用Windbg分析dump文件的一般步骤与诸多细节，并给出了一个实战分析实例，有一定的实战参考价值。
Windbg使用详解
热门推荐
dvlinker的技术专栏
10-07 5万+
本文详细介绍了Windows调试工具Windbg的安装与使用，并给出多个实战问题分析实例。
PE文件结构简析-windbg
06-15
PE文件结构简析，pe头文件是学习windows的一个重要过程，关于pe可以使用windbg调试器。
windbg学习23（!peb和PEB结构）
weixin_30487201的博客
01-10 593
调试器用户经常会需要查看在启动调试目标时使用了哪些命令行参数，这个信息是保存在PEB中的，可以通过!peb来获取，这个命令将解析PEB并给出完整的命令行，所有已加载DLL的位置，以及环境变量等. 0:000> !peb PEB at 7ffdf000 InheritedAddressSpace: No ReadImageFileExecOptions: N...
WinDbg查看notepad的PE结构
hahaha233330的博客
06-02 351
打开notepad，再打开windbg，File → Attach to a Process，选择notepad.exe，连接进程。 输入命令 !dh -f notepad 查看进程号。 输入命令 !db 进程号 l400 查看notepad的PE结构。
PE格式系列_0x02：PE头部信息（WinDbg查看）
可乐松子的博客
05-23 1996
0x02 PE头部信息（WinDbg查看） 使用像CFF、Stud_PE等专用工具可以直接查看PE文件的格式，那还有必要学习PE的格式吗？前面学习目的就是答案 单纯的看PE格式介绍没什么意思，下面结合分析notepad软件来学习PE格式 工具：调试器是WinDbg、PE查看工具是Stud_PE和PEview（任何一款PE工具都可以） 提示：WinDbg是windows下调试的神器，如果有时间的话，建议学习一个使用 1.notepad基本信息 先使用WinDbg简单了解一下C:\Windows\SysWO
使用Windbg分析dump文件排查C++软件异常的一般步骤与要点分享
dvlinker的技术专栏
10-16 3万+
本文详细总结了使用Windbg静态分析dump文件去排查C++软件异常的一般步骤与方法，供大家借鉴或参考。
windbg内核调试查看pe结构
最新发布
01-15
### 使用 WinDbg 进行内核调试时查看 PE 文件结构 在 WinDbg 中进行内核调试并查看可移植执行体 (PE) 文件结构可以通过特定的命令来实现。这些命令允许深入理解模块加载地址空间及其内部结构。 对于已加载的驱动或...
一个查看PE文件内容的小工具——CliPeViewer
weixin_34306676的博客
01-08 1458
一个查看PE文件内容的小工具——CliPeViewer 本文地址：http://www.cnblogs.com/AndersLiu/archive/2009/04/18/cli-pe-viewer-release-1.html 作者：Anders Liu 猛击此链接，下载CliPeViewer：http://files.cnblogs.com/AndersLiu/CliPeV...
windbg-PE完整分析
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
06-16 1401
1.PE结构常用的结构体 [plain] view plain copy 0:001> dt ntdll!*IMAGE*             ntdll!_IMAGE_NT_HEADERS             ntdll!_IMAGE_FILE_HEADER             ntdll!_IMAGE_OPTIONAL_HEADE
使用Windbg认识Ｗindows PE结构
sankernel的博客
02-12 381
0:000> !dh -f notepad File Type: EXECUTABLE IMAGE FILE HEADER VALUES 14C machine (i386) 4 number of sections 559EA6FF time date stamp Fri Jul 10 00:53:19 2015 0 file pointer to symbol table 0...
15.windbg-dds、dps、dqs、PE文件解析
hgy413的专栏
05-14 7964
以下默认windbg加载calc程序 1.d*s dds、dps和dqs命令显示给定范围内存的内容,它们是把内存区域转储出来，并把内存中每个元素都视为一个符号对其进行解析，dds是四字节视为一个符号，dqs是每8字节视为一个符号，dps是根据当前处理器架构来选择最合适的长度 比如要看看当前stack 中保存了哪些函数地址，就可以检查ebp  指向的内存 0:000> dds ebp 000
Windbg查看进程的_EPROCESS结构
never12345678的专栏
10-15 6272
最近研究某驱动DebugPort清零，学习了使用Windbg查看_EPROCESS结构地址，采用Syser下断查找清零代码。下面主要写下Windbg查看进程的_EPROCESS结构，便以后查阅。大家知道，每一个进程都对应一个_EPROCESS结构,我们如何确定一个进程的_EPROCESS地址呢？以notepad.exe为例使用Windbg的Kernel Debug，输入命令lkd> !process 0 0    //查看当前进程PROCESS 8a5e7088 SessionId: 0 Cid: 0ff0
PE查看工具编写
輚至消亡
07-02 1042
1. 基础介绍 今天写了一个工具, 使用MFC编写。 该工具有以下功能: 查看PE基础信息 查看PE结构的节表信息 RVA到FOA的转换 添加一个新的空节区 2. 功能演示 界面如下: 演示一下添加新节的功能: 演示一下换算RVA与FOA的功能: 可以看到，其位于.idata节。 3. 核心代码 a. 内存映射技术 PVOID CPEViewDlg::FileSharing(LPCTSTR lpcszFilePathName) { HANDLE hFile = I.
windbg 查看结构体_图解windbg查看Win7结构体
weixin_33708562的博客
02-11 657
首先用windbg打开notepad.exe；dt命令显示局部变量、全局变量或数据类型的信息。它也可以仅显示数据类型。即结构和联合(union)的信息。下面用dt命令查看Win7结构体；查看peb结构； 查看eprocess结构； 查看特定地址的eprocess结构内容; *是通配符；显示所有peb打头的结构体名称； 枚举ntkrnlmp中带"Object"的结构体名称；没有，本机记事本没载入nt...
【调试技术】【入门】用户态查看PEB和TEB
此地无银
11-03 941
概述：用户态查看进程 PEB 和 TEB(通过windbg附加或启动调试的exe)
枚举Windows进程中模块的几种方法-PEB内核结构详解
QQ_3094353627的博客
05-06 2343
1. 引言 在诸多的场景中（例如软件测试，软件安全研究等领域）经常需要分析在目标进程中具体加载了哪些模块(DLL)，以及所加载的模块的信息（如模块基地址，映射文件大小等）。获取这windows进程加载的模块信息，曾经有一个行之有效又很便捷的方法，使用windows提供PSAPI(psapi.dll，windows进程状态信息接口)提供的相关的接口就可以快捷的获取进程及进程加载的模块信息。有关PSAPI接口可以参考psapi.h或者微软的官方文档Psapi.h header - Win32 ...
windbg调试学习笔记
波波诸葛伟
12-26 585
汇编&反汇编 u 地址 [长度] 反汇编之后代码Ub地址 [长度] 反汇编之前代码Up地址 [长度] 从物理地址反汇编Uf 地址 反汇编当前函数a 地址 在指定地址处写入汇编 16位 怎样打印某函数调用关系 命令 功能 适用范围 uf /c /D 地址 打印当前函数对其他函数的调用 用户态/内核态 # 函数名 起始地址 l长度 打
评论 4
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值