pe文件被装入内存时按64k对齐

看罗云彬的win32汇编，看到搜索kernel32.dll基址问题的时候，有点小问题，书上说：

主程序从堆栈得到的返回地址，将其作为参数传递过来，然后按64k对齐，也就是与0ffff0000h进行and操作，然后按页搜索时，递减10000h！

为什么按64k对齐呢?咋不按内存中一页大小对齐呢？还有为啥要递减10000h呢?纳闷啊。。。于是百度+google,老费劲地找到答案了。。。请看这段话！

“对于加载到程序中的模块,基址都是对齐的,你自己可以用调试器看一下,程序中各个模块包括dll和程序本身,加载进去的基址十六进制末四位都是0,也就是0xxxx0000H,也就是PE头会出现在这些地址附近,所以减去10000加快搜索效率”

相信你已经明白了吧！10000h就是64k！^_^呵呵，是偶太菜喽，不过假如你也和我一样不懂的话，希望能对你有点帮助！O(∩_∩)O

同样的疑问在看雪找到了答案：转：http://bbs.pediy.com/showthread.php?t=99859

转载于:https://www.cnblogs.com/this-543273659/archive/2012/05/16/2505366.html

pe文件被装入内存时按64k对齐相关推荐

PE文件感染和内存驻留
这次,作者将和大家一起讨论病毒的感染技术.另外,从本文开始,我们将陆续接触到一些病毒的高级编码技术.例如,内存驻留.EPO(入口点模糊)技术.加密技术.多态和变形等.通过这些高级技巧,你将进一步感受到 ...
PE文件磁盘与内存映像结构图
[re入门]PE文件小知识
从PE入手的信息收集,让恶意样本无处可逃一. PE文件格式的基础知识 1.1 认识PE文件 1.2 整体结构 1.3 基地址 1.4 相对虚拟地址 1.5 文件偏移地址 1.6 结构 1.6.1 D ...
PE文件详解(教程1-7)
PE文件详解(教程1-7) ========================================= PE教程1: PE文件格式一览 PE 的意思就是 Portable Executable ...
小甲鱼 OllyDbg 教程系列 (二) ：从一个简单的实例来了解PE文件
小甲鱼视频讲解: https://www.bilibili.com/video/av6889190?p=6 https://www.bilibili.com/video/av6889190?p=7 从 ...
理解PE文件相对虚拟地址(RVA)到文件偏移的转换
关于PE文件格式的详细描述在网络上可以找到一大堆,最近有空,我也来研究一把.读了很多参考资料,应该说都讲得非常清晰,尤其是看雪学院的iamgufeng翻译的那篇文章,读来受益非浅. 根据我这个菜鸟的阅 ...
虚拟内存及PE文件与虚拟内存之间的映射
虚拟内存 Windows 的内存可以被分为两个层面:物理内存和虚拟内存. 如图 1.2.1 所示,Windows 让所有的进程都"相信"自己拥有独立 ...
PE文件解析-文件头与整体介绍
一.PE的基本概念 PE(Portable Execute)文件是Windows下可执行文件的总称,常见的有DLL,EXE,OCX,SYS等,事实上,一个文件是否是PE文件与其扩展名无关,PE文件可以 ...
滴水三期：day41.2-PE阶段所有代码汇总（PE文件分析器基本C代码）
一.代码汇总 1.功能如下打印PE头字段打印节表将文件读入到FileBuffer,FileBuffer到ImageBuffer到newBuffer,最后存盘 RVA转FOA.FOA转RVA 向代 ...

pe文件被装入内存时按64k对齐

pe文件被装入内存时按64k对齐相关推荐

最新文章

热门文章