windows - PE 文件节名

Question

根据这篇文章http://msdn.microsoft.com/en-us/library/ms809762.aspx?ppud=4
我们可以用自定义名称命名 PE 部分。
所以在一个 PE 文件中，它的创建者用他自己的名字替换了部分名称，
现在，如果“.pdata”部分不再称为“.pdata”，那么我就无法通过它的名称找到它。
我怎样才能找到“.pdata”？

Answer 1

正确，根据 Windows Portable Executable specification和其他来源，如 Matt Pietrek 的来源，部分名称是为人类制作的!通常，编译器为特定类型的节内容设置“标准”名称(例如代码的“.text”等)。但是，这些名称会被加载程序完全忽略。可以使用不同的方法修改这些部分的名称(使用 pragma 或其他工具，例如 Peid 等)。感兴趣的部分 (.pdata) 与 IMAGE_DIRECTORY_ENTRY_EXCEPTION 目录相关联。

要在重命名后找到 .pdata 部分(顺便说一下，这是图像是 64 位的指示器)，您需要做的就是搜索 IMAGE_DIRECTORY_ENTRY_EXCEPTION 目录，并根据其内容检索它的部分位于(您可以对所有目录执行此操作)。