portable-executable - PE の「マップされていないデータ」部分には何がありますか?

Question

誰でも知っていますか？

のほとんどのスペースがPEによって占められているように思えますUnmapped Dataが、これはほとんどの場合に当てはまりますか?

Answer 1

There is often some unmapped data, particularly in the .bss section which contains uninitialized data, but most of the PE will mapped to something. If, for example, the .text section contains unmapped data, it's a clear sign that you're looking at a weird binary that's probably been obfuscated by a defensive packer tool.

Your question makes me wonder what you're looking at the binary with. I would recommend OllyDbg or Ida Pro. Most of the program's address space will be unmapped, but not the memory that the PE loads into.

Answer 2

いいえ、ほとんどの場合、そうではありません。

最後のセクションを過ぎたデータは存在しないはずですが、存在する可能性があります。存在する場合、それはメモリにロードされていないデータであるため、実行可能ファイルは実行時に独自のファイル イメージで何か怪しいことをしている可能性があります。