修補一個PE可執行文件

Question

可以說我已經將一個PE可執行文件加載到內存中，並且適合它使用dos，nt頭文件結構，現在我想知道它的.text/code segement actual（而不是VA）offset + size我那樣做？ 是否有一個win32 api用於查找.text開始偏移量或可能是從結構指針 指向該段的起始偏移量

謝謝。

Answer 1

是的，請參閱Peering Inside the PE: A Tour of the Win32 Portable Executable File Format。

Answer 2

IMAGE_FILE_HEADER和IMAGE_OPTIONAL_HEADER有一些這樣的信息。您可以使用GetNTHeaders（）函數檢索它們。從那裏，你可以通過IMAGE_FIRST_SECTION（pNtHeaders）獲得第一個節頭。節標題是順序的，並保存您感興趣的其餘信息。文件標題包含節的數量。

Answer 3

嘗試使用PE File Format DLL來獲取信息。提供完整的源代碼，非GPL保護，因此您可以在商業項目中使用它。

另有可用（隨源）PE File Explorer向您展示如何使用DLL。 親