Доброго времени суток, мб кто подскажет насколько безопасно изменять заголовки PE загруженного в память процесса? И часто ли используется эти заголовки в WinApi?

| Сообщение посчитали полезным:

знаю, что сверяется MZ в некоторых апишках. поставть бряк в отладчике на заголовок и вперёд.

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

Я таким макаром нашел RtlImageNtHeaderEx, но мб еще чтото есть, мало ли кто знает

| Сообщение посчитали полезным:

это недокументировано и не нужно туда лезть, можно глянуть, что делают популярные пакеры, проты с заголовком.

для какой цели это нужно?

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

Да так, просто заметил что отладчики и дамперы обламывает когда им суешь кривой PE заголовок, вот и исследую фитчу на юзабельность

| Сообщение посчитали полезным:

Для начала определись, что ты там собрался менять и зачем такие костыли нагораживать. Как минимум работа с ресурсами отвалится+экспорт/импорт, относящийся к модулю. Safe-исключения тоже пользуются этим, насколько помню. Возможно, ТЛС. Короче, много чего отвалится.
Коряво написан софт, вот и валится. Если нормально писать, можно вообще без заголовка обойтись и построить его с нуля.
ELF_7719116
Не списывай у меня! :-P
Отмаз detected

| Сообщение посчитали полезным:

neox0r пишет:
часто ли используется эти заголовки в WinApi?
В WinAPI загрузки ресурсов используют вроде как.
Archer пишет:
ELF_7719116
Не списывай у меня!
я первым зашел в тему, но начал читать личные смс и только после ответил уже

| Сообщение посчитали полезным:

ну блин.. что по факту заголовок это то, что указывает виндовому лоадеру как грузить файл.. это на этапе загрузки.. в разных местах можно вклиниватся и делать разные вещи.. Хоронов вон вообще линковщик сделал с упакованным заголовком.. НО главное ж не в этом. Прежде чем чтото делать надо представлять стадии загрузки и последствия.. Как вариант у проги есть свой GetProcAdress.. как у большенства протов..
З.Ы. я б советовал посмотреть как реализован вмпрот.. и Арчи хорошо вспомнил про ТЛС.. там еще на стадии полузагрузки можно из говна сделать конфету

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

Archer
Знаю один протектор, он оставляет только MZ. Остальное просто трет.
Правда все эти "антидампы" обходятся восстановлением заголовка из файла. Так что лучше обратить свой взор в другую сторону.

-----
старый пень

| Сообщение посчитали полезным:

Впринципе да согласен с Archer, костыли эти незачем накалачивать, слишком много чего будет работать некоректно, спасибо всем за помощь

| Сообщение посчитали полезным: