閱讀PE32 +部分的原始數據

我正在嘗試讀取x64 exe的.pdata部分。我將文件映射到內存，找到.pdata節，然後使用它的PointerToRawData來獲取該節的實際數據...
但是，然後我的「pdata」指針指向一個非法地址：（
這是我做什麼：？閱讀PE32 +部分的原始數據

void* mappingHandle = CreateFileMapping(fileHandle, 
        NULL, 
        PAGE_READONLY, 
        0, 
        1, 
        NULL); 
char* fileMemory = (char*)MapViewOfFile(mappingHandle, FILE_MAP_READ, 0, 0, 1); 
IMAGE_DOS_HEADER* dosHeader = (IMAGE_DOS_HEADER*)fileMemory; 
IMAGE_SECTION_HEADER* pdataSectionHeader = NULL; 
if (dosHeader->e_magic == IMAGE_DOS_SIGNATURE) // "MZ" signature 
{ 
    IMAGE_NT_HEADERS* ntHeaders = (IMAGE_NT_HEADERS*)(fileMemory + dosHeader->e_lfanew); 
    if (ntHeaders->Signature == IMAGE_NT_SIGNATURE) // Supposed to be "PE" 
    { 
     unsigned int sectionCount = ntHeaders->FileHeader.NumberOfSections; 
     IMAGE_SECTION_HEADER* sectionHeaders = IMAGE_FIRST_SECTION(ntHeaders); 
     pdataSectionHeader = sectionHeaders + 3; // Going to .pdata section. 
    } 
} 
unsigned long pdataSize = pdataSectionHeader->SizeOfRawData; 
char* pdata = fileMemory + pdataSectionHeader->PointerToRawData;

有誰能夠告訴我什麼，我做錯了

來源

2012-03-29 Idov

的問題是在我的文件映射到內存的方式
我應該做它這樣：

void* mappingHandle = CreateFileMapping(fileHandle, 
        NULL, 
        PAGE_READONLY, 
        0, 
        0, //Here: 0 instead of 1 
        NULL);

來源

2012-03-30 19:00:30 Idov

閱讀PE32 +部分的原始數據

回答

相關問題