выполненный раздел

Question

Как я могу получить в файле exe точку, на которую IP указывает в начале ?? Всегда ли он указывает на начало сегмента .text?

Answer 1

Посмотрите на AddressOfEntryPoint член IMAGE_OPTIONAL_HEADER (см. http://msdn.microsoft.com/en-us/library/ms680339.aspx) или запустите dumpbin.exe My.exe /headers и посмотрите на «точку входа» в части «ДОПОЛНИТЕЛЬНЫЕ ЗНАЧЕНИЯ ГОЛОВКИ» выхода (6-я строка) с самого начала).

Answer 2

В большинстве случаев IP указывает на раздел .text. Но это не требование спецификации PE. Когда секция PE была зашифрована или сжата (например, с использованием UPX), IP перенаправляется на прокси. Кстати, спецификация PE также дает подсказку о том, что названия разделов не стандартизированы. Некоторые программы имеют «необычные» названия разделов (например, Exeinfo PE).