PE结构与数据修复技术详解.pptx

第二章脱壳4.修复PE数据

为什么要修复PE数据PE结构表示了该可执行文件的基本属性，需要和文件的实际属性对应起来。保证加载器正确的识别。PE数据正确，IDA才能正常运行，方便进行静态分析。保证数据正确的基础上，我们才可以做一些额外的优化。比如去掉多余的区段，不在文件中保存未初始化的数据等待，用来缩小文件的体积

需要修复哪些数据_IMAGE_FILE_HEADER结构中的区段数_IMAGE_OPTIONAL_HEADER结构中的入口地址，模块基地址区段对齐，文件对齐，模块大小，dll属性，_IMAGE_SECTION_HEADER区段结构的数据需要和实际区段数据对应；区段属性“读、写、执行等”。_IMAGE_DATA_DIRECTORY数据目录指向正确的位置。

如何判断数据熟悉PE结构成员的定义检查的时候对照PE结构定义检查的时候参考未脱壳的PE数据工具dump时已经帮助我们修复了很多数据

使用的例子和工具例子dump文件“2-2-vs2017_dump.exe”调试器x32dbgPE修复工具PE编辑器，winhex