OD 實驗 - 對 PE 結構的簡單分析
阿新 • • 發佈：2018-09-04
圖片 nds 兩個 add 復制 bubuko ctr 雙擊 尺寸
載入程序，按 Alt+M 查看內存空間
雙擊進入程序的 PE 頭
這些為 DOS 環境下才會運行的
這個執行 PE 的地址，PE 結構的偏移地址為 C0
找到這個地址
以 PE 開頭
SizeOfCode 為代碼段的大小
SizeOfInitializedData 為所有含已初始化數據的塊的大小
這兩個值明顯太大了，可能被惡意修改過了，可以把他們修改一下
右鍵 -> 二進制 -> 編輯，快捷鍵為 Ctrl+E
或者右鍵 -> 修改整數
SizeOfCode 可能為 400，SizeOfInitializedData 可能為 A00
BaseOfCode 代碼段的起始偏移地址，此處應該為 1000
BaseOfData 數據段的起始偏移地址，此處應該為 2000
右鍵進行修改
用 VC 編譯出來的程序，ImageBase 一般都為 400000
NumberOfRvaAndSizes 為數據目錄表的尺寸，這個值默認為 0x10
該程序沒有輸出表，Export Table Address 應該改為 0，Export Table Size 也為 0
接下來保存文件
從最初修改的地址開始
為 004000DC
按 Ctrl+G 跟隨表達式
輸入地址，點擊 OK
適量選取一段
右鍵 -> 復制到可執行文件
右鍵 -> 保存文件
OD 實驗 - 對 PE 結構的簡單分析