Еще раз о формате PE

Сейчас на форуме: (+4 невидимых)

<< . 1 . 2 .

Посл.ответ	Сообщение
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 12 апреля 2006 11:44 · Личное сообщение · #1 Расскажите, плиз, что идет в заголовке PE-файла (в массиве размеров и RVA) после поля BoundImportRVA (смещение 0xD0 относительно сигнатуры "PE")... Или дайте ссылки на материалы (ОЧЕНЬ желательно на русском)

Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 22 апреля 2006 14:58 · Личное сообщение · #2 PE_Kill пишет: Ммм, абсолютные, значит их не надо определять, они уже указывают на функции, а не на имена Т.е. в таблице указателей на адреса ужу подставлены эти самы абсолютные адреса.... Или я чего то впринципе недогоняю??
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 22 апреля 2006 15:04 · Личное сообщение · #3 Ну да. Если нужны имена, то придется ImpREC писать (что я сейчас и делаю) ----- Yann Tiersen best and do not fuck
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 22 апреля 2006 21:53 · Личное сообщение · #4 А в борландовских файлах вообще таблицы имен нету, или как??? Че тут нада делать, что б их узнать... Мот надо по таблице экспорта dll искать ???
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 27 апреля 2006 11:25 · Личное сообщение · #5 Блин... Я с импортом от Борланда совсем зегрулся.... Как разобрать импорт в этом случае?
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 27 апреля 2006 11:39 · Личное сообщение · #6 С борландом всё просто. Есть указатели на имена. При загрузке лоадер изменяет указатели на реальные адреса. А MS генерит сразу две таблици с указателями на имена. Лоадер проватчивает вторую, а первую не трогает. ----- Yann Tiersen best and do not fuck
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 27 апреля 2006 11:43 · Личное сообщение · #7 PE_Kill пишет: При загрузке лоадер изменяет указатели на реальные адреса Тоесть там где в файле на OriginalFirthThunk стаят нули после запуска будет РВА таблицы имен???
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 27 апреля 2006 15:29 · Личное сообщение · #8 Нет. Там где ThirstThunk находятся указатели на имена. А в OriginalThirstThunk нули. Лоадер OriginalThirstThunk не трогает, а в ThirstThunk заменяет указатели на имена адресами функций. ----- Yann Tiersen best and do not fuck
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 29 апреля 2006 00:44 · Личное сообщение · #9 PE_Kill пишет: Нет. Там где ThirstThunk находятся указатели на имена. А в OriginalThirstThunk нули. Лоадер OriginalThirstThunk не трогает, а в ThirstThunk заменяет указатели на имена адресами функций. Брррррр. Кто же такой формат придумал... гЫ.....
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 29 апреля 2006 08:03 · Личное сообщение · #10 M$ ----- Yann Tiersen best and do not fuck
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 29 апреля 2006 12:49 · Личное сообщение · #11 PE_Kill пишет: M$ Я уже такое вроде писал..... Вот можно ж придумать свой формат (нормальный)))))))))). И свой лоадер написать. И конвертер из PE в свой формат...........
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 04 мая 2006 12:21 · Личное сообщение · #12 Исчо турой вопрос Вот ни FirstThunk
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 04 мая 2006 12:22 · Личное сообщение · #13 Глюки ну и ладно)))) ни OriginalFirstThunk не указывают на массив RVA имен. О чем это говорит??
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 04 мая 2006 12:40 · Личное сообщение · #14 BOUND IMPORT? DELAY IMPORT? ----- Yann Tiersen best and do not fuck
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 04 мая 2006 17:37 · Личное сообщение · #15 PE_Kill пишет: BOUND IMPORT? DELAY IMPORT? Есть BOUND IMPORT. И что это значит???
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 05 мая 2006 06:27 · Личное сообщение · #16 А это уже другая структура и про первую можешь забыть. ----- Yann Tiersen best and do not fuck
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 06 мая 2006 15:28 · Личное сообщение · #17 PE_Kill пишет: А это уже другая структура и про первую можешь забыть. Т.е. при Bound Import'e ни в OriginalFirstThunk ни в FirstThunk ниче хорошего не будет???
asd Ранг: 162.2 (ветеран) Активность: 0.09↘0 Статус: Участник	Создано: 06 мая 2006 17:24 · Личное сообщение · #18 Keo пишет: Т.е. при Bound Import'e ни в OriginalFirstThunk ни в FirstThunk ниче хорошего не будет??? В FirstThunk будут содержаться предположительные адреса функций. Тут есть описание типов импорта, очень понятно. wasm.ru/article.php?article=green2red02
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 07 мая 2006 01:12 · Личное сообщение · #19 asd пишет: В FirstThunk будут содержаться предположительные адреса функций Эт-то, понятно.... Что будет по OriginalFirstThunk, имена? или што??? Просто есть несколько файлов: в одних - массив RVA имен, а в других - хня какая-то
Keo Ранг: 44.7 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 07 мая 2006 01:14 · Личное сообщение · #20 А кстати, исчо вопрос. Што будит если библиотека (которая есть в Bound Import) загрузицца по адресу, отличному от ImageBase????

<< . 1 . 2 .

Для печати