PE的“未映射数据”部分有哪些内容？

Question

有谁知道？

在我看来PE的大部分空间都被Unmapped Data占用，在大多数情况下是这种情况吗？

Answer 1

在大多数情况下，情况并非如此。

最后一节应该没有数据，尽管可以。如果存在，那么它将是未加载到内存中的数据，因此可执行文件可能在运行时使用自己的fileimage执行某些操作。

Answer 2

通常会有一些未映射的数据，特别是在包含未初始化数据的.bss部分中，但大多数PE都会映射到某些内容。例如，如果.text部分包含未映射的数据，则清楚地表明您正在查看可能被防御性打包工具混淆的奇怪二进制文件。

你的问题让我想知道你在看二进制文件。我推荐OllyDbg或Ida Pro。大部分程序的地址空间将被取消映射，但不会被PE加载到的内存中。