如何判斷是否為PE Win32啟用了/ GS編譯器

Question

我能夠從DOS頭解析ASLR，DEP，SEH等，但不知道如何判斷文件是否使用/ GS堆棧canaries進行編譯。

我正在編寫一個程序，所以指向像PEStudio這樣的程序，除非它是開源的，否則不會幫助我。

這是dos標題的一部分嗎？ 或者我是否必須掃描._security_cookie的.data部分？

Answer 1

• 轉到IMAGE_NT_HEADERS
• 然后IMAGE_OPTIONAL_HEADER （IMAGE_NT_HEADERS.OptionalHeader）
• 然后是IMAGE_DATA_DIRECTORY （IMAGE_NT_HEADERS.OptionalHeader.DataDirectory）
• 第10個條目VirtualAddress成員是“加載配置目錄”的RVA。
  • IMAGE_NT_HEADERS.OptionalHeader.DataDirectory [IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG] .VirtualAddress

加載配置目錄是IMAGE_LOAD_CONFIG_DIRECTORY結構。

檢查SecurityCookie成員：如果它不是0，那么/ GS正在用於此PE。