delphi - 将pe文件从内存转储到磁盘

Question

我想将进程镜像转储到磁盘上然后执行它

• 我列出了流程模块
• 我使用readprocessmemory读取exe的内存范围

但是当我尝试执行时它失败了。我该如何解决这个问题？

谢谢

Answer 1

你不能。

当您将 PE 加载到内存中时(我假设您使用的是 ImageHlp.pas 中的 MapAndLoad)，它会将模块加载到内存中并加载数据，但它不会以这种方式遍历并重新对齐所有指针标准的 Windows Loader 就是这样做的。

应用程序中的指针都将是相对地址，实际上并不指向它们应该指向的内容。

如果您足够了解 RVA 和映射的工作原理，您可以分析代码，但无法实际执行它。