加載Windows可執行文件 - 在加載到內存後添加到段中的意外數據

Question

我正在嘗試編寫一個程序來分析Windows可執行文件。我假定可執行文件中的部分直接映射到內存。我注意到幾個程序中有奇怪的行爲。一個例子是crackme12.exe。當我檢查加載到內存中的調試器.rdata節時，我可以看到由於某種原因，在加載到內存中的部分的開始部分添加了96個字節，而該部分不在可執行文件中。我花了2天的時間嘗試閱讀Windows可執行文件，但我無法找到解釋爲什麼會發生這種情況。

Answer 1

一種解釋可能是程序本身在內存部分放置了一個流，這並不罕見。在Portable Executable Documentation中找不到這種解釋。一些（惡意軟件）可執行文件也會替換或添加新的部分。其他（混淆的）可執行文件將將現有的空文件部分擴展到非空內存部分。