执行部分

Question

如何在exe文件中检索IP指向的位置？ 它总是指向.text段的开头吗？

Answer 1

查看AddressOfEntryPoint的{​​{1}}成员（请参阅http://msdn.microsoft.com/en-us/library/ms680339.aspx）或启动IMAGE_OPTIONAL_HEADER并查看“可选标题值”部分中的“入口点”输出（从头开始的第6行）。

Answer 2

在大多数情况下，IP指向.text部分。但这不是PE规范的要求。当PE部分已加密或压缩（如使用UPX）时，IP将重定向到代理。顺便说一下，PE规范还提供了关于章节名称未标准化的事实的暗示。有些程序有“不寻常”的部分名称（例如Exeinfo PE）。