找到PE入口點的部分

Question

我正在嘗試找到PE入口點指向的部分。 我有兩個問題：

1. 它是正確的說，這部分是一個這樣section.PointerToRawData < AddressOfEntryPoint < section.PointerToRawData + section.SizeOfRawData？
2. 我看到一些PE的AddressOfEntryPoint>文件總大小。這怎麼可能？ AddressOfEntryPoint值是否錯誤？

感謝

Answer 1

它是正確的說，這部分是一個這樣 section.PointerToRawData < AddressOfEntryPoint < section.PointerToRawData + section.SizeOfRawData？

不是，你想要的部分應該是這樣的部分：section。 VirtualAddress < AddressOfEntryPoint < section。 VirtualAddress +部分。 VirtualSize

然後找到文件中的位置，使用方法：AddressOfEntryPoint - section.VirtualAddress + section.PointerToRawData