PE формат

← →
tox (2004-10-21 16:43) [0]

Мастера помогите пожалуйста,если кто работал с PE форматом и знает как вычислить oep,image base,rva и т.д. или знает где можно найти документацию киньте ссылку. плз

← →
MikeP (2004-10-21 17:44) [1]

http://www.samag.ru/sod/0604/
статья "Путь воина – внедрение в PE/COFF-файлы"
автор Крис Каспески
журнал стоит 145р в линуксцентре
статья хороша тем что описывает не отраженные в документации особенности формата и то, как он интерпретируется системным загрузчиком
а так
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/debug/base/pe_format.asp

← →
g-l-u-k (2004-10-21 19:04) [2]

// Читаем где начинается PE
setfilepointer(h,$3c,0,FILE_BEGIN);
readfile(h,pe,2,i,nil);

//Читаем ImageBase
setfilepointer(h,$34+pe,0,FILE_BEGIN);
readfile(h,imbase,4,i,nil);

//Читаем Entry Point RVA
setfilepointer(h,$28+pe,0,FILE_BEGIN);
readfile(h,oep,4,i,nil);
closehandle(h);

...............

showmessage("Entry Point = "+
inttohex(b[0],2));

← →
SPeller © (2004-10-21 19:09) [3]

MSDN, MSDN и ещё раз MSDN :) Я и сам когда-то парился с этим :)

← →
GuAV © (2004-10-21 19:51) [4]

SPeller © (21.10.04 19:09) [3]
А исходные тексты РЕviewer - Top Secret ? ;-)

← →
tox (2004-10-22 12:24) [5]

SPeller,подскажи где взять исходные тексты РЕviewer.

← →
Nous Mellon © (2004-10-22 12:30) [6]

> SPeller,подскажи где взять исходные тексты РЕviewer.

Ага так он тебе их и отдаст..
на блюдечке с голубой каемочкой

← →
SPeller © (2004-10-22 13:08) [7]

В этом вопросе буду приверженцем дедовщины: дедушка нашёл — теперь и ты поищи :-))

← →
tox (2004-10-22 13:10) [8]

если я нахожу OEP,первый байт например равный 60,как я могу изменить его на другой

← →
SPeller © (2004-10-22 13:15) [9]

> первый байт например равный 60,как я могу изменить его на
> другой

:-))))) Это уже в орешник тянет :)

← →
tox (2004-10-22 13:25) [10]

пойду посмотрю в орешнике

← →
Анонимщик © (2004-10-22 13:30) [11]

http://rsdn.ru/article/baseserv/peloader.xml
http://education.kulichki.net/comp/hack/27.htm
Был еще где-то файл pe.chm

← →
Nous Mellon © (2004-10-22 15:53) [12]

> пойду посмотрю в орешнике

10 баллов!

← →
tox (2004-10-22 20:24) [13]

SPeller намекни хоть,где искать. Не надо нам ДЕДОВЩИНЫ

← →
SammIk © (2004-10-22 21:25) [14]

2[2]
OEP & EP немного разные весчи, но иногда они совподают

← →
Игорь Шевченко © (2004-10-22 22:35) [15]

> Не надо нам ДЕДОВЩИНЫ

Надо. Тебе уже сказали, где ищут дедушки - в MSDN. Если ты не знаешь, что это такое, тебе дорога в Яндекс, где ты набираешь это слово и получаешь массу полезных и увлекательных ссылок.

SPeller © (22.10.04 13:08) [7]

> дедушка нашёл — теперь и ты поищи

Злой ты :))

← →
tox (2004-10-23 00:47) [16]

> Тебе уже сказали, где ищут дедушки - в MSDN. Если ты не
> знаешь, что это такое, тебе дорога в Яндекс

А на РАМБЛЕРЕ можно?

Я не ЗЛОЙ,а ДОБРЫЙ и пушистый,как ёж

← →
Rouse_ © (2004-10-23 00:56) [17]

> дедушка нашёл — теперь и ты поищи
- Смысл жизни видишь?
- Нет.
- Вот и я не вижу, а он есть ;)

ЗЫ: И не забывайте про сусликов ;) © ДМБ ;)

← →
esu (2004-10-23 01:03) [18]

Я бы еще по русскоязычным сишным форумам посмотрел, если по MSDN не все понятно, последний, кстати, есть в online версии.

← →
tox (2004-10-23 01:30) [19]

Смысл жизни,найти исходники PEviewer!

> ЗЫ: И не забывайте про сусликов ;) © ДМБ ;)

И про бобров тоже

← →
GuAV © (2004-10-23 01:53) [20]

tox (23.10.04 1:30) [19]
Смысл жизни,найти исходники PEviewer!

Нет, смысл жизни - научится читать MSDN !

← →
Rouse_ © (2004-10-23 01:59) [21]

> Нет, смысл жизни - научится читать MSDN !

Перефразируем ;)

- MSDN видел?
- Нет.
- и я не видел, а он есть :)

← →
SPeller © (2004-10-23 05:48) [22]

> Смысл жизни,найти исходники PEviewer

Дык, у меня есть, я ж его автор :) Но тебе не дам :)

> Злой ты :))

Я ж шучу :)

← →
tox (2004-10-23 13:08) [23]

torry.net, там и PEviewer и PEEditor и я всё скачал

← →
tox (2004-10-23 13:12) [24]

Как примерно пишется скремблер для UPX

← →
Nous Mellon © (2004-10-23 13:47) [25]

> Как примерно пишется скремблер для UPX

примерно пишется на С++ или На Делфи :)

← →
SPeller © (2004-10-23 14:39) [26]

> torry.net, там и PEviewer и PEEditor и я всё скачал

Значит там не мой PEViewer :)

← →
Gero © (2004-10-23 17:43) [27]

> SPeller © (23.10.04 14:39)

Тебя декомпилировали :)

← →
GuAV © (2004-10-23 18:27) [28]

SPeller © (23.10.04 14:39) [26]
torry.net, там и PEviewer и PEEditor

Нужено было обозвать его Total_PE ;-)

> Gero
> GuAV

То что он взял на torry вроде бы пример на основе JCL (не проверял).

← →
tox (2004-10-24 13:26) [30]

нет VCL

Дадад, это папка Examples из архива JEDI. Только на torry лежит версия 0.5.3, а в JCL 1.22 от 2002 года лежит версия 0.5.4 :)

← →
tox (2004-10-24 18:06) [32]

SPeller не ЖМОТИСЬ скажи где взять исходники

Исходники чего? Если моего PEViewer"а - то за отдельную плату :)

> SPeller не ЖМОТИСЬ скажи где взять исходники

Ну ты простой как пять копеек

← →
tox (2004-10-25 23:16) [35]

Удалено модератором

← →
tox (2004-10-26 22:41) [36]

Удалено модератором
Примечание: Последнее китайское предупреждение...

> Модератор

Имхо, за [36] стоит наказать.

← →
tox (2004-10-27 16:33) [39]

Удалено модератором
Примечание: Offtopic

← →
tox (2004-10-30 00:18) [40]

Ну так как с PE форматом работать

PE формат Найти похожие ветки