該基址的Excutable的地址文件

Question

爲什麼該基址是CFF和OllyDbg的區別？

Answer 1

CFF正顯示出你的靜態分析，這意味着它只是從磁盤讀取該文件在運行時沒有調試它，顯示你的「首選基址」從PE頭，這就是二進制想成爲在運行時加載。

當執行動態分析如與OllyDbg的它顯示在運行時在PE頭的值，基址將保持當前基址，而不是優選的一個從磁盤。但是當你讀取optional PE header的DllCharacteristics時，你會發現它被設置爲0x8140。

0x0040 = IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE含義地址空間佈局隨機化已啓用，導致Windows加載程序將模塊加載到隨機地址，以便使攻擊變得更加困難，因爲硬編碼的jmp和地址將不準確。

開發人員現在需要在運行時計算一切，除非您使用Windows 8或10，因爲bug has been causing ASLR無法正常工作......