PE
驱动开发：内核解析PE结构导出表
在笔者的上一篇文章`《驱动开发：内核特征码扫描PE代码段》`中`LyShark`带大家通过封装好的`LySharkToolsUtilKernelBase`函数实现了动态获取内核模块基址，并通过`ntimage.h`头文件中提供的系列函数解析了指定内核模块的`PE节表`参数，本章将继续延申这个话题，实... ......
逆向-第五次实验-PE文件解析
#include<stdio.h>#include<string.h>#include<windows.h> char FileName[100]={0}; void PrintNTHeaders();LPVOID ReadPEFile(); int main(){ printf("Please i ......
为啥proteus11里读不到M45PE16设备ID呢
环境：Proteus 8.11 sp0，电路连接如下图。 程序清单是： SCK BIT P3.0 SI BIT P3.1 SO BIT P3.2 CS BIT P3.3 ORG 00H MOV SP,#30H INIT: CLR SCK SETB SO ;发送RDID命令（9F） CLR CS L0 ......
PE文件格式
PE文件格式 VA是进程虚拟内存的绝对地址，RVA+ImageBase=VA PE头 DOS头 _IMAGE_DOS_HEADER e_magic :DOS 签名（4D5A） e_lfanew: 指示NT头的偏移（NT头为_IMAGE_NT_HEADERS） NT头 Signature：签名为00 ......
使用volatility dump从内存中重建PE文件——IAT函数出错的使用impscan解决
好了，书中，说了操作的步骤，我们再vol2里实验下。 查看进程： PS D:\Application\volatility3-stable> python .\vol.py -f "D:\book\malwarecookbook-master\malwarecookbook-master\16\7\ ......
手写 PE 文件
手写 PE 文件 此内容是逆向工程实验内容，对应完整 PE 文件结构更加复杂 此处是借助 C 语言完成的，因为真正手写没有意义 真正手写查错困难 核心目的是了解 PE 文件的大概结构 #include <stdio.h> #include <stdlib.h> #include <string.h> ......
PE安装系统Windows11
本文主要讲在WePE下安装操作系统Windows11。 一、准备工作 1、U盘，需大于8G 2、微PE软件 3、Windows11安装包 二、安装系统 1、使用微PE制作软件，一键制作U盘启动盘，可以查看我以前的文章《使用微PE制作启动U盘》，并拷贝Windows11安装包到已经制作好的PE U盘中 ......
PE文件（1）
（一）PE文件的概念介绍 PE是 Win32环境自身所带的执行体文件格式。 前两部分为识别作用，在支持PE文件结构的操作系统中执行时，PE装载器将从 DOS MZ header 中找到 PE header 的起始偏移量。因而跳过了 DOS stub 直接定位到真正的文件头 PE header，然后开 ......
PE结构
头部文件 DOS头 DOS MZ头 IMAGE_DOS_HEADER 64个字节 第一个为5A4D即MZ，最后一个为IMAGE_NT_HEADERS的偏移。 DOS stub 不固定 IMAGE_DOS_HEADER尾部，到PE文件头开始，之间部分。PE中没有与之对应的结构 pe头IMAGE_NT_ ......