PE
2.6 PE结构：导出表详细解析
导出表（Export Table）是Windows可执行文件中的一个结构，记录了可执行文件中某些函数或变量的名称和地址，这些名称和地址可以供其他程序调用或使用。当PE文件执行时Windows装载器将文件装入内存并将导入表中登记的DLL文件一并装入，再根据DLL文件中函数的导出信息对可执行文件的导入表... ......
PE 文件结构图
最近在进行免杀的学习，在《黑客免杀攻防》这本书中找到了非常好的关于PE文件的描述，虽然书比较古老的，但是里面的内容是非常精细和优秀的。它的附页中有非常清晰的PE文件结构图，可是翻看比较麻烦，撕下来又可惜，于是我今天对着附页的图用excel重新画了一个。这些工作我平时做的比较少，所以消耗了比较久的时间 ......
2.5 PE结构：导入表详细解析
导入表（Import Table）是Windows可执行文件中的一部分，它记录了程序所需调用的外部函数（或API）的名称，以及这些函数在哪些动态链接库（DLL）中可以找到。在Win32编程中我们会经常用到导入函数，导入函数就是程序调用其执行代码又不在程序中的函数，这些函数通常是系统提供给我们的API... ......
2.4 PE结构：节表详细解析
节表（Section Table）是Windows PE/COFF格式的可执行文件中一个非常重要的数据结构，它记录了各个代码段、数据段、资源段、重定向表等在文件中的位置和大小信息，是操作系统加载文件时根据节表来进行各个段的映射和初始化的重要依据。节表中的每个记录则被称为`IMAGE_SECTION_... ......
2.1 PE结构：文件映射进内存
PE结构是`Windows`系统下最常用的可执行文件格式，理解PE文件格式不仅可以理解操作系统的加载流程，还可以更好的理解操作系统对进程和内存相关的管理知识，在任何一款操作系统中，可执行程序在被装入内存之前都是以文件的形式存放在磁盘中的，在早期DOS操作系统中，是以COM文件的格式存储的，该文件格式... ......
2.2 PE结构：文件头详细解析
PE结构是`Windows`系统下最常用的可执行文件格式，理解PE文件格式不仅可以理解操作系统的加载流程，还可以更好的理解操作系统对进程和内存相关的管理知识，DOS头是PE文件开头的一个固定长度的结构体，这个结构体的大小为64字节（0x40）。DOS头包含了很多有用的信息，该信息可以让Windows... ......
瑞萨 --- error pe0.const overlaps .text
1. 更改代码编译优化等级。 2. 更新section配置。 ......
深入解析pe结构（下）
数据目录表结构 在可选PE头的最后部分拥有16个数据目录表，其结构如下 typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress; //内存偏移 DWORD Size; //大小 } IMAGE_DATA_DIRECTORY, *PIMA ......
21.1 使用PEfile分析PE文件
PeFile模块是`Python`中一个强大的便携式第三方`PE`格式分析工具，用于解析和处理`Windows`可执行文件。该模块提供了一系列的API接口，使得用户可以通过`Python`脚本来读取和分析PE文件的结构，包括文件头、节表、导入表、导出表、资源表、重定位表等等。此外，PEfile模块还... ......
PE文件结构2（实现PE文件载入）
### 现在我们已经学完了PE文件格式，但是尚还停留在纸上谈兵的阶段，作为Windows系统上的可执行文件格式，PE文件结构总是和结构体，指针等紧密联系在一起的。理解它的最好方法就是通过写一个类似LordPE的程序来帮助我们理解PE文件结构的底层实现逻辑。计算机到底是如何实现对于PE文件结构的读取和 ......
进程掏空代码注入实现和使用威胁图的检测思路——本质上掏空就是在操作PE的加载，NtUnmapViewOfSection是核心，结合威胁图进行实体关系关联检测
在进程掏空代码注入技术中，攻击者创建一个处于挂起状态的新进程，然后从内存中取消映射其映像，改为写入恶意二进制文件，最后恢复程序状态以执行注入的代码。 注入步骤： 步骤1：创建一个处于挂起状态的新进程： 设置了CREATE_SUSPENDED标志的CreateProcessA() 步骤 2：交换其内存 ......
PE文件结构1
# 引言 PE文件格式是Windows操作系统下的可执行文件的格式，包括.exe文件和.dll文件，通过PE文件格式的学习，可以帮助我们更加熟悉有关Windows系统下的逆向分析和PC端病毒的学习，同时PE文件格式也是HOOK,加壳等知识的基础，在这里分享一下自己的有关PE文件格式学习的收获和如何编 ......
滴水逆向三期 手动解析PE头
PE文件结构 PE文件由PE头，NT头（由标准PE头（固定20字节）和可选PE头（不固定大小）组成），节表以及节区部分组成。具体图示如下（转载）： 下面将该图片PE头，NT头（由标准PE头（固定20字节）和可选PE头（不固定大小）组成），节表以及节区部分进行剖析。 DOS头 typedef stru ......
谓词加密（Predicate Encryption, PE）-学习笔记
该文对谓词加密描述的较为详细，可供参考。 出处：廖定锋, 王常吉. 谓词加密理论与应用研究[D]. 中山大学硕士学位论文, 2010: 24-25. ......
PE学习2
5、RVA与FOA的转换 引入问题： 如果想改变一个全局变量的初始值，该怎么做？ 如果一个变量没有赋初值的话，那么他在硬盘的时候，不回存放在PE文件中，直到在内存中展开的时候才会在文件中。而如果有初始值的话，就会一直存在。 如果我们想要从一个运行起来的PE文件中去找到未运行的文件中的一个全局变量的地 ......
PE学习3
9、导入表 一个进程是由一组PE文件构成的: PE文件提供哪些功能 : 导出表 PE文件需要依赖哪些模块以及依赖这些模块中的哪些函数 : 导入表 扩展pe头中的最后一个成员是一个结构体数组，其中包含了十六个结构体 其中 _IMAGE_DIRECTORY_ENTRY_IMPORT 这个成员就是代表 ......
PE学习
1、主要结构体 DOS MZ文件头的内存大小为64个字节 DOS Stub的大小不确定，因为这段是给连接器用的，即使这段数据被删改也不影响运行 通过DOS MZ文件头尾到PE文件头的内存确定大小 DOS部分属于是历史遗留问题,用于DOS 操作系统与exe程序运行无关，只是保留在PE中 PE文件头由三 ......
用PE安装完原版win10系统后，会自动安装捆绑软件，第三方软件，爱奇艺，腾讯视频，2345安全卫士等
用PE安装原版win10系统后，如果选择立即重启，或者关机再重启，都会自动安装第三方捆绑软件，如爱奇艺，腾讯视频，2345安全卫士等。 解决方法：1、在部署完系统，也就是一键还原跑完后，不要选择立即重启。 2、打开桌面此电脑，找到C盘下的windows文件夹，找到panther文件夹，打开里面的un ......
如何在 Mac OS X 下制作可以在 PC 上启动的PE系统?
(84 条消息) 如何在 Mac OS X 下制作可以在 PC 上启动的PE系统? - 知乎 (zhihu.com) 如何在macOS下制作winpe启动U盘 - 老吴黑苹果工作室 (hpglw.com) ......
4.2 针对PE文件的扫描
通过运用`LyScript`插件并配合`pefile`模块，即可实现对特定PE文件的扫描功能，例如载入PE程序到内存，验证PE启用的保护方式，计算PE节区内存特征，文件FOA与内存VA转换等功能的实现，首先简单介绍一下`pefile`模块。pefile模块是一个用于解析Windows可执行文件（PE... ......
手机刷了PE类原生系统后的体验
*刷机有风险，格机需谨慎* 刷的是pixelexperience 具体的刷机教学在pe官网就有写: https://get.pixelexperience.org/ 如果没有你的机型可以尝试其他系统(如CM)，或者在xda论坛找（不过初始化记得拔卡，不要连wifi） 刷进系统后马上发现一个很大问题， ......
使用优启通 制作 WIN PE U盘时报BOOT.WIM 有毒的解决方法
使用优启通 制作 WIN PE U盘时报BOOT.WIM 有毒的解决方法 1.打开“Windows Defender”. 2.点击“病毒和威胁防护”。 3.点击“管理设置”。 4.点击“添加或删除排除项”。 5.将“EasyU_v3.7.exe”添加到排除即可。 6.双击EasyU_v3.7.exe ......
手写PE文件
构造PE文件需要将所需的结构逐一构建出来，即需要将IMAGE_DOS_HEADER、IMAGE_FILE_HEADER、IMAGE_OPTIONAL_HEADER、IMAGE_SECTION_HEADER、IMAGE_IMPORT_DESCRIPTOR和数据节构造好，进而完成整个PE文件的代码。 1 ......
python3---signify-验证PE文件证书
# python3 signify-验证PE文件证书 keywords: 验证签名 signify可以用来查看和验证PE文件证书 github地址: https://github.com/ralphje/signify 安装模块： ```r pip install signify ``` 示例： ` ......
详解驱动开发中内核PE结构VA与FOA转换
摘要：本文将探索内核中解析PE文件的相关内容。 本文分享自华为云社区《驱动开发：内核PE结构VA与FOA转换》，作者： LyShark 。 本章将探索内核中解析PE文件的相关内容，PE文件中FOA与VA、RVA之间的转换也是很重要的，所谓的FOA是文件中的地址，VA则是内存装入后的虚拟地址，RVA是 ......
驱动开发：PE导出函数与RVA转换
在笔者上篇文章`《驱动开发：内核扫描SSDT挂钩状态》`中简单介绍了如何扫描被挂钩的SSDT函数，并简单介绍了如何解析导出表，本章将继续延申PE导出表的解析，实现一系列灵活的解析如通过传入函数名解析出函数的RVA偏移，ID索引，Index下标等参数，并将其封装为可直接使用的函数，以在后期需要时可以被... ......
PE学习——导出表，加载dll并GetProcAddress获取函数地址的内在原理
导出表 一个可执行程序是由多个PE文件组成，这些PE文件依靠倒入表、导出表进行联系，导出表存储着PE文件提供给其他人使用的函数列表，导入表则存储着PE文件所需要用到的PE文件列表。从PE文件的角度去看，任何PE文件都可以有导入、导出表，从一般情况下来看，EXE文件不会提供导出表，也就是不会提供给他人 ......
PECMD 是一种管理和调试 Windows PE 系统的命令行工具，主要用于在 WinPE 环境下进行系统管理、修复和救援等操作。根据资料记录，PECMD 已经发布了如下版本：
PECMD 是一种管理和调试 Windows PE 系统的命令行工具，主要用于在 WinPE 环境下进行系统管理、修复和救援等操作。根据资料记录，PECMD 已经发布了如下版本： PECMD 2003：发布于 2003 年，适用于 Windows PE 1.0 版本。 PECMD 2005：发布于 ......
驱动开发：内核PE结构VA与FOA转换
本章将继续探索内核中解析PE文件的相关内容，PE文件中FOA与VA,RVA之间的转换也是很重要的，所谓的FOA是文件中的地址，VA则是内存装入后的虚拟地址，RVA是内存基址与当前地址的相对偏移，本章还是需要用到`《驱动开发：内核解析PE结构导出表》`中所封装的`KernelMapFile()`映射函... ......
驱动开发：内核解析PE结构节表
在笔者上一篇文章`《驱动开发：内核解析PE结构导出表》`介绍了如何解析内存导出表结构，本章将继续延申实现解析PE结构的PE头，PE节表等数据，总体而言内核中解析PE结构与应用层没什么不同，在上一篇文章中`LyShark`封装实现了`KernelMapFile()`内存映射函数，在之后的章节中这个函数... ......