windows - 如何将 EXE 中的文件偏移量映射到其 PE 部分

Question

我打开了一个我用 ImageHlp.dll 编写的程序来尝试一下，我注意到文件中似乎有很大的空白。据我了解，对于每个 PE 部分，部分标题将其在文件中的偏移量指定为 PhysicalAddress，并将其大小指定为 SizeOfRawData，因此所有内容均来自 PhysicalAddress 到 PhysicalAddress + SizeOfRawData 应该是那个部分。但是有大量 EXE 文件没有包含在这些范围内，所以我一定遗漏了一些东西。

我知道我可以使用 ImageRVAToSection 并给它一个 RVA 地址来找出 RVA 位于哪个部分。有什么方法可以对文件偏移量做类似的事情吗？我怎样才能找出哪个 PE 部分字节 $ED178 或属于哪个字节？

Answer 1

编辑:抱歉，我没有仔细阅读您的问题。

通过查看，我找到了一些您提到的文件，节标题中的数据没有涵盖文件的全部内容。到目前为止，我发现的大多数都包含未涵盖的调试记录。还有一些其他的差异我还没有弄清楚。什么时候/如果我能想出更多，我会添加它。