PEView 和 HxD 的結果是不同的。 可能嗎？

Question

PEView 和 HxD 的結果是不同的。 可能嗎？ 我認為它應該是相同的，因為它是原始數據。

在 PEveiw 中：

在 HxD 中：

Answer 1

根據我在 Windows 10（包括 PEView 0.9.9）上的所有工具，正確的值是“F8”。 您是否在完全相同的環境中運行這兩個工具？ 在虛擬機中？

F8是DOS header中e_lfanew字段值的一部分，即偏移到新的可執行文件header。 通俗地說，它指向實際的 NT header（PEView 中的 IMAGE_NT_HEADERS）。 lfa表示long file address 。 它是一個 32 位 (DWORD) 相對虛擬地址 (RVA) 值。 IMAGE_NT_HEADERS 位於 DOS 存根和 Rich Signature header（如果存在）之后（在 notepad.exe 中存在）。

有趣的是，在 Windows 7 32 位 VN 上使用 PEView 和 notepad.exe，由於不同的豐富簽名 header，顯示的值為D8 。