找到PE的入口点的部分

Question

我试图找到PE入口点指向的部分。 我有两个问题：

1. 说这一节是section.PointerToRawData＆lt; AddressOfEntryPoint＆lt; section.PointerToRawData + section.SizeOfRawData？
2. 我看到一些拥有AddressOfEntryPoint＆gt;的PE文件总大小。这怎么可能？ AddressOfEntryPoint值是错误的吗？

感谢

Answer 1

  

说这个部分是这样的，这是正确的吗？   section.PointerToRawData＆lt; AddressOfEntryPoint＆lt;   section.PointerToRawData + section.SizeOfRawData？

不完全，您想要的部分应该是：section。 VirtualAddress ＆lt; AddressOfEntryPoint＆lt; section。 VirtualAddress + section。 VirtualSize

然后要查找文件中的位置，请使用：AddressOfEntryPoint - section.VirtualAddress + section.PointerToRawData