PIMAGE_NT_HEADERS 顯示不同的值

Question

所以我目前正在嘗試在本地 map 我暫停的線程，當我將我的程序彈出到 CFF 資源管理器中時，它說 PIMAGE_NT_HEADERS 的值是 00004550：

然而，當我自己嘗試 map 時，我的值是 00400080：

typedef struct pe {
    PIMAGE_DOS_HEADER peDH;
    PIMAGE_NT_HEADERS peNH;


} pe;

PE.peDH = (PIMAGE_DOS_HEADER)imgBase;
PE.peNH = (PIMAGE_NT_HEADERS)((u_char*)PE.peDH + PE.peDH->e_lfanew);
printf("[?] - NT Headers section is located at: 0x%x\n", PE.peNH);

Answer 1

它說 PIMAGE_NT_HEADERS 的值是 00004550

不，它沒有。 再仔細看一遍。 它實際上說IMAGE_NT_HEADERS結構的Signature字段是00004550 。 但是您不是在打印Signature ，而是在打印PIMAGE_NT_HEADERS指針本身。 不是一回事。

將您的打印改為：

printf("[?] - NT Headers Signature is: 0x%08x\n", PE.peNH->Signature);