exe - 実行されたセクション

Question

IPが最初に指しているexeファイルポイントを取得するにはどうすればよいですか?? 常に .text セグメントの先頭を指していますか?

Answer 1

AddressOfEntryPointのメンバーを確認するかIMAGE_OPTIONAL_HEADER( http://msdn.microsoft.com/en-us/library/ms680339.aspxを参照)、開始dumpbin.exe My.exe /headersして出力の「OPTIONAL HEADER VALUES」部分の「entry point」を確認します (6-最初から 3 行目)。

Answer 2

ほとんどの場合、IP は .text セクションを指します。ただし、これは PE 仕様の要件ではありません。PE セクションが暗号化または圧縮されている場合 (UPX の使用など)、IP はプロキシにリダイレクトされます。ところで、PE 仕様は、セクションの名前が標準化されていないことにもヒントを与えています。一部のプログラムには、「通常とは異なる」セクション名があります (Exeinfo PE など)。