Windows PE 确定入口点虚拟地址

Question

我正在使用“PE 编辑器”检查 Windows 可执行文件，它显示入口点为 0x15B8，我们如何确定该入口点的地址为虚拟地址？

Answer 1

入口点是相对于模块的加载地址存储的。

模块可以通过设置 IMAGE_OPTIONAL_HEADER 中的 ImageBase 字段来声明其首选地址(参见 this page )。但是，操作系统可以自由选择另一个地址，或者是因为首选地址正在使用中，或者是最近因为 ASLR。

我不确定你在什么环境下运行这个，但如果你用一个实时运行的程序来做这个:这是一个实现细节，但在 NT 上你可以转换一个 HMODULE成一个指针，这是模块的加载地址。您还可以基于此读取 PE header 。因此，例如，您可以将 AddressOfEntryPoint 成员添加到 HMODULE 的地址并找到一个入口点...如果不是加载时间信息，您想要类似的东西文件中的字节偏移量，您必须解析节标题以找到它在文件中的位置。