相关推荐

搜索目录的所有文件并把PE文件分类

搜索任意目录中的所有文件，并按照PE文件和非PE文件分类，并把PE文件按照PE文件头16字节分类。 结果如下： NO. PE_Header_HEX Number PE_Header_ASCII 1 4D 5A 90 00 03 00 11 11 11 11 10 00 FF FF 00 00 1 MZ? 2 4D 5A 90 00 03 00 01 11 11 11 11 00 FF FF 00 00 1 MZ? 3 4D 5A 90 00 03 00 00 00 11 11 10 00 FF FF 00 00 1 MZ? 4 4D 5A 90 00 03 00 00 00 01 11 00 00 FF FF 00 00 1 MZ? 5 4D 5A 90 00 03 00 00 01 11 10 00 00 FF FF 00 00 1 MZ? 6 4D 5A 90 00 03 00 00 00 11 11 11 10 FF FF 00 00 1 MZ? 7 4D 5A 90 11 11 11 11 10 04 00 00 00 FF FF 00 00 1 MZ? 8 4D 5A 90 00 03 00 11 11 04 01 10 00 FF 11 00 00 1 MZ? 9 4D 5A 90 01 13 00 00 00 04 00 00 01 11 FF 00 00 1 MZ? 10 4D 5A 90 00 03 00 00 01 11 11 11 11 1F FF 00 00 1 MZ? 11 4D 5A 44 56 41 50 41 11 11 11 14 6C 6C 00 6F 6C 1 MZDVAPA 12 4D 5A 72 75 6E 20 71 11 11 11 12 20 57 69 6E 33 1 MZrun qWin3 13 4D 5A 90 00 11 11 00 00 04 00 00 00 FF FF 00 00 1 MZ? 14 4D 5A 90 00 03 00 00 00 04 00 00 01 11 11 11 10 1 MZ? 15 4D 5A 50 00 02 00 00 00 04 00 0F 00 FF FF 01 10 1 MZP 16 4D 5A 50 00 02 00 00 10 04 11 11 00 FF FF 00 00 1 MZP 17 4D 5A 72 75 6E 20 75 E1 11 11 12 20 57 69 6E 33 1 MZrun u?Win3 18 4D 5A 90 54 68 69 73 20 70 72 6F 67 72 61 6D 20 2 MZ怲hiprogram 19 4D 5A D2 00 19 00 02 00 20 00 00 00 FF FF AD 02 1 MZ? 20 4D 5A 47 44 49 33 32 2E 64 6C 6C 00 55 53 45 52 2 MZGDI32.dll 21 4D 5A 90 00 03 00 02 22 22 22 22 20 FF FF 00 00 1 MZ? 22 4D 5A 50 00 02 00 00 00 04 00 0F 00 FF FF 00 00 2 MZP 23 4D 5A 4B 45 52 4E 45 4C 33 32 2E 64 6C 6C 00 6F 7MZKERNEL32.dll

PE文件格式详解(下)

预定义段   一个Windows NT的应用程序典型地拥有9个预定义段，它们是.text、.bss、.rdata、.data、.rsrc、.edata、.idata、.pdata和.debug。一些应用程序不需要所有的这些段，同样还有一些应用程序为了自己特殊的需要而定义了更多的段。这种做法与MS-DOS和Windows 3.1中的代码段和数据段相似。事实上，应用程序定义一个独特的段的方法是使用标

PE 文件

文章目录0x01 PE文件结构0x02 各重要字段说明一、MZ 头部二、实模式残余程序三、PE 文件标志四、PE文件头五、PE 文件可选头六、段头部七、段 0x01 PE文件结构 PE结构如下图： ︱￣￣￣￣￣￣￣￣￣︱ ︱ MS-DOS ︱ ︱ MZ 头部 ︱--------------> 64 byte ︱ ︱ ︱ ￣ ￣ ￣ ￣ ￣ ￣︱ ︱ MS-DOS ︱ ︱ 实模式残余程序 ︱--------------> 112 byte ︱

PE格式解析-区段表及导入表结构详解

PE格式区段表与导入表的结构详解

【C语言】[其他] ：code, data, idata, xdata, bdata, edata, hdata等，代表的意思

从数据存储类型来说，8051系列有片内、片外程序存储器，片内、片外数据存储器，片内程序存储器还分直接寻址区和间接寻址类型，分别对应code、data、xdata、idata以及根据51系列特点而设定的pdata类型，使用不同的存储器，将使程序执行效率不同，在编写C51程序时，最好指定变量的存储类型，这样将有利于提高程序执行效率(此问题将在后面专门讲述)。与ANSI-C稍有不同，它只分SAMLL、C

IDA .edata .rdata .idata .text segments

.rdata is for const data. It is the read only version of the .data segment. .idata holds the import directory (.edata for exports). It is used by EXE's and DLL's to designate the imported and export...

PE文件解析-资源中的字符串结构

一、概述     想要获取一个可执行文件(PE文件)里包含的资源文件，首先要解析可执行文件，得到资源存储的地址及大小，可参考 https://blog.csdn.net/zhyulo/article/details/85717711 。然后，根据资源存储方式，得到各资源的数据内容及其大小，可参考 https://blog.csdn.net/zhyulo/article/details/85930...

PE文件结构1

/ MZ标志WORD e_cp;WORD e_ss;WORD e_sp;WORD e_ip;WORD e_cs;// PE文件头偏移。

PE文件详解------PE文件结构剖析

一.PE文件结构纵览 PE文件的结构如上图所示，由低地址到高地址分别为：Dos头，PE头，块表，块，调试信息。其中真正的PE文件头是位于Dos头的后面的部分。 上图为利用PE工具打开的一个可执行文件在磁盘中的映射，这就是PE文件的内部信息。 可以看到这个文件的钱两个字节为”4D 5A”，表示的就是Dos头的第一个字段的额信息，标示Dos的头部。在Dos头结构的最后

python之pefile模块（解析PE）

发现很多的朋友经常用到PE格式相关的开发，如解析PE文件的格式，获取相关的内容。比如常常用到的静态的病毒启发式检测模型的建立、病毒样本分类、查壳脱壳等。 搜索了一下发现论坛里面没有我要讲的这个东西，于是我在这里向大家推荐pefile这个python库。 这个是基于MIT licence的一个开源项目，你可以在上面做更多的开发。 开发包的下载地址 http://code.google.c

PE结构各字段偏移参考

PE结构各字段偏移参考 headerimageimportalignmentlinkerfile Complete PE Offset Reference While there is a lot of data and various parts of the structure are at varying positions there are

bed文件格式详解

BED 文件格式是一个可变方式的数据线，用来描述注释的数据。BED线有3个要求的字段和9个额外的字段。每条线的字段数目必须是任意单条数据的在注释上一致。可选字段的序试结合低数字的字段必须流行如果高位字段被使用。 首先是三个要求的BED字段 1,chrom, 染色体或scafflold 的名字(eg chr3， chrY, chr2_random, scaffold0671

Linux 设备驱动之 UIO 机制（基本概念）

http://blog.csdn.net/xy010902100449/article/details/46917623 一个设备驱动的主要任务有两个： 1. 存取设备的内存 2. 处理设备产生的中断 对于第一个任务，UIO 核心实现了mmap()可以处理物理内存(physical memory)，逻辑内存(logical memory)， 虚拟内存(virtual mem

PE文件结构学习1

PE是可移植的执行体——Portable Executable File Format 一、PE文件种类： 可执行系列有两种.exe和.scr .scr  1.是Windows专用的屏幕保护程序的扩展名； 2.在AutoCAD中是脚本文件，以记事本方式打开，如果安装了AutoCAD 2004就会被自动改为脚本； 3.SCR文件可以转换为EXE文件来运行而不影响内容； window

使用pefile解析PE文件格式

pefile用于解析PE文件格式，github提供下载使用，并给出了使用范例。 https://github.com/erocarrera/pefile import pefile pe = pefile.PE('notepad.exe') AddressOfEntryPoint = hex(pe.OPTIONAL_HEADER.AddressOfEntryPoint) ImageBa

PE文件格式详解(5)

预定义段　　一个Windows NT的应用程序典型地拥有9个预定义段，它们是.text、.bss、.rdata、.data、.rsrc、.edata、.idata、.pdata和.debug。一些应用程序不需要所有的这些段，同样还有一些应用程序为了自己特殊的需要而定义了更多的段。这种做法与MS-DOS和Windows 3.1中的代码段和数据段相似。事实上，应用程序定义一个独特的段的方法是使用标

理解PE文件相对虚拟地址(RVA)到文件偏移的转换

        关于PE文件格式的详细描述在网络上可以找到一大堆，最近有空，我也来研究一把。读了很多参考资料，应该说都讲得非常清晰，尤其是看雪学院的iamgufeng翻译的那篇文章，读来受益非浅。       根据我这个菜鸟的阅读感受与实践来说来看，我觉得根据RVA正确换算出到数据相对文件的偏移这个细节这些文章都没有做过多的说明，而这是我唯一化比较多时间来思考的地方。下面我就说说我对此的理解，

PE文件结构分析

PE文件分析

初步了解PE文件格式（上）

今天这篇博客只对PE文件进行大致的分析，使用一个例子并结合一个简单的PE文件格式图来说明PE文件格式。