当dump一个PE时里边包含寄存器、堆栈、标志寄存器吗？

冥界3大法王 · 发表于 2023-9-2 16:27

本帖最后由冥界3大法王于 2023-9-2 16:28 编辑

书上没写，我也没整太明白。我感觉似乎是没有的。

做了一上午试验，DUMP比较软件执行流，貌似某些种情况下是真实成立的。确实是简单方便高效，但需要一些技巧。

hipojie · 发表于 2023-9-2 16:59

本帖最后由 hipojie 于 2023-9-2 17:01 编辑

怕是你对PE有误解，寄存器、堆栈、标志寄存器这些东西是在程序运行时具有相对应的值，而不是exe躺在硬盘上时的值，如果你在程序运行时把内存里的值读出来是包含寄存器、堆栈、标志寄存器里面的值，其实你还是要进行分析的，破解软件啊，分析Windows程序啊离不开PE结构，如果你懂PE，通过读exe躺在硬盘上时的值然后进行正确的编程处理，就能进行破解软件了。

月夜克星 · 发表于 2023-9-2 17:03

肯定是不包含的呀，可能是你没找对书，寄存器，堆栈和EFLAGS都是存储运行时信息的。
PE解析器会会先根据PE文件头的信息把PE文件按区块加载映射到一段内存区域里建立堆栈空间根据解析IAT 做一些杂碎的工作，最后把EIP指向EP。
然后才是cpu根据PE文件里的指令改变寄存器 EFLAGS的值压栈出栈等等
所以PE文件本身肯定是不包含这些运行时信息的

冥界3大法王 · 发表于 2023-9-3 08:38

书上是这么写的。

tl;dr · 发表于 2023-9-3 09:33

提示: 作者被禁止或删除内容自动屏蔽

冥界3大法王 · 发表于 2023-9-3 09:54

tl;dr 发表于 2023-9-3 09:33
dump的是内存吗？

Yes sir.

12924869872 · 发表于 2023-9-8 20:03

这是有可能的，电脑休眠就是把进程数据保存在硬盘

帐号		自动登录	找回密码
密码			注册[Register]

tl;dr tl;dr 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	tl;dr 发表于 2023-9-3 09:33 提示: 作者被禁止或删除内容自动屏蔽
	如何快速判断一个文件是否为病毒！
	回复支持举报

[讨论] 当dump一个PE时里边包含寄存器、堆栈、标志寄存器吗？

免费评分

个人中心