Windows PE 文件及其.text 部分：如何预测它们的哪些区域会在运行时发生变化？

Question

我有几个 PE 文件（DLL 和 EXE），并注意到它们的.text 部分在将它们的文件 hash 与其运行时后加载 memory Z0800FC577294C34E0B28AD283943594 进行比较时并不相同进行逐字符分析，我发现它们中的大多数是相同的，但某些地址在运行时已更改。

据我了解，这些更改是由于加载期间发生的调用指令地址重定位造成的。 我的问题：

• 调用指令地址重定位是唯一可能在加载后更改为 PE 的 .text 部分的内容吗？ 或者还有其他指令Windows也会修改吗？
• 有什么方法可以静态检查 PE 并检测 .text 部分的哪些部分可能会在运行时更改（我应该寻找的具体说明？）
• 有没有我可以遵循的代码指南，或者我可以启用的编译器开关，这可以最大限度地减少运行时可能发生的重定位次数？

用例：

我想通过将 PE 中的 hash of.text 部分与加载的 PE's.text 部分的 memory hash 进行比较来验证运行程序的代码完整性。 如果我可以静态识别触发重定位的某些指令，我可以在我的散列过程中跳过它们。 并且也可能使用一种策略来最大限度地减少整体搬迁。

Answer 1

I once tinkered with the PE format and created a proxy DLL that could load another DLL function by function in a lazy fashion. 代码的关键行是这样做的：

rtn = (FARPROC)::VirtualAlloc(NULL, FUNC_CODE_SIZE, MEM_COMMIT, PAGE_EXECUTE_READWRITE);

它分配了可以执行的 memory，然后将 function 的代码从 DLL 加载到分配的 ZCD6917B4957F096CDE 中。 我不完全确定这是否会导致 .text 的更改。 一方面它是堆分配，另一方面它是可执行的 memory。

如果您想修改它，这里是文章的链接： https://www.codeproject.com/Articles/273419/Dynamic-Libraries-with-Delayed-Function-Loading