portable-executable

0熱度

1回答

什麼鑄造了32位地址的類型（BYTE *）和（DWORD *）之間

我的程序運行在32位的Windows地址的虛擬內存空間的類型不同，所以是DWORD。我想通過更改IAT中API的地址來掛接API。所以，我首先獲取目標進程映像的基址。然後，我嘗試獲取IMAGE_OPTIONAL_HEADER結構的起始地址。 IMAGE_OPTIONAL_HEADER32* pOptionalHeader=(IMAGE_OPTIONAL_HEADER*)((BYTE*)g_hCur

c++ windows byte portable-executable dword 2016-09-29

---

4熱度

2回答

如何強制GDB在反編譯代碼時顯示「沒有函數包含所選幀的程序計數器」？

如何強制GDB反彙編代碼時說：「沒有函數包含所選框架的程序計數器」？ [New Thread 65212.0x10378] Breakpoint 1, 0x00402200 in ??() (gdb) stepi 0x00402202 in ??() (gdb) stepi 0x00402207 in ??() (gdb) stepi 0x0040220a in ??() (gd

debugging assembly x86 gdb portable-executable 2016-08-18

---

0熱度

3回答

自定義命名的PE文件和頭

我會通過聲明我是一個大三的惡意軟件分析師，我希望有人誰已編程/分析頭可以有一些建議，以啓動這一問題。 通常，當編譯器將.exe放在一起時，您會看到.text，.data，.rdata，.rsrc等......但作者如何去模糊這些名稱以混淆執行靜態分析的人？

compiler-construction static-analysis portable-executable 2016-08-18

---

0熱度

1回答

訪問PE的PIMAGE_EXPORT_DIRECTORY結構中的任何成員時發生崩潰

我試圖在kernel32.dll中獲取函數的RVA，並且我得到了導出目錄的偏移量，並將其添加到我的file_map中。但是，當我嘗試對任何PIMAGE_EXPORT_DIRECTORY結構的成員做任何事情時，我的程序崩潰。我甚至無法檢查它是否是沒有崩潰的nullptr。這是我的代碼： #include "Sample.h" //Just contains other headers #inclu

c++ pointers dll portable-executable 2016-07-06

---

1熱度

1回答

遍歷IMAGE_EXPORT_DIRECTORY結構的AddressOfNames成員的問題

我在枚舉kernel32.dll中的函數名時遇到了問題。我檢索了它的IMAGE_EXPORT_DIRECTORY結構並存儲了指向每個函數名稱的字符數組的指針數組：char** name_table = (char**)(image+pExp_dir->AddressOfNames); //pExp_dir is a pointer to the IMAGE_EXPORT_DIRECTORY str

arrays pointers winapi portable-executable pointer-arithmetic 2016-07-08

---

0熱度

1回答

在C++中爲pe文件添加新節

我在C++中創建一個簡單的打包器時遇到了一些問題。 我需要新的部分添加到PE文件要做到這一點，我想在Visual Studio 2015年使用下面的代碼來初始化一個新的section.i： PIMAGE_SECTION_HEADER new_section; new_section->Characteristics = IMAGE_SCN_MEM_WRITE; ，但它給了我new_secti

c++ file portable-executable 2016-09-03

---

0熱度

1回答

在不影響執行的情況下向PE添加字節

正如標題所示，這將如何完成？如果我在操作碼的開始處添加了一個字節，它將以一個字節將內存中的地址壓入。如果你不明白的問題： 原： 0x1 mov ecx, 10 0x2 mov eax, 1 0x3 inc eac 0x4 cmp eax 0x5 jl 0x3 新增字節： 0x1 NOP 0x2 mov ecx, 10 0x3 mov eax, 1 0x4 inc eac 0x5

assembly reverse-engineering portable-executable 2016-09-04

---

1熱度

1回答

爲什麼editbin/swaprun：CD/swaprun：NET更改兩個字節？

使用選項/ swaprun：CD和/ swaprun：NET調用dll的editbin會更改dll的PE標頭字，設置位$ 0400和$ 0800（實際上它只更改高位字節）。 這就是它應該做的。 但它也改變另一個字節（見十六進制比較）。 有人可以向我解釋這個字節是什麼意思，爲什麼它被改變？ 編輯：澄清： EDITBIN這些選項應該設置在PE頭部的特徵字段 IMAGE_FILE_REMOVABLE_R

windows portable-executable 2016-07-27

---

1熱度

1回答

爲什麼在Dev C++編譯之後，PE文件中有這麼多額外的部分？

我通過C/C++編寫了一些簡單的代碼，由Win10上的PE格式的Dev C++（MinGW）編譯。 我使用的工具「梭哈PE」審查編譯的exe的PE文件結構如下： 正如你所看到的，除了像的.text正常的文件部分， .data，.bss ...，還有一些其他部分的名稱爲/ 4，/ 19，/ 31 ...。 我怎樣才能知道這些部分的目的是什麼？用於調試的？ （但爲什麼這麼多部分有奇怪的名字？） 是否有

c++ dev-c++ portable-executable 2016-09-17

---

3熱度

2回答

PE文件中偏移量爲0x3c的PE頭的指針是否始終設置爲0x80？

PE文件中偏移量爲0x3c的PE頭的指針是否始終設置爲0x80？ 我想知道爲什麼這個指針會改變。我想DOS標題和存根沒有改變，因爲它們是第一次寫入。 PE-header在這些DOS工件之後直接啓動，那麼PE指針是否始終設置爲0x80？如果不是，爲什麼？

windows assembly portable-executable 2016-08-01

---