質問: win32実行ファイルのイメージベースが0x400000であるにもかかわらず、Ida Proは0x401000でのみ解析を開始することに気付きました。その前に何があったのですか?IDAの設定を変更してイメージベースで分析を開始するにはどうすればいいですか?ありがとうございました。
回答: PE実行可能ファイルは、少しのDOS exeスタブ(独自の小さなヘッダー付き)、IMAGE_NT_HEADERSという名前の構造体、セクションテーブルからなるヘッダーブロックで始まります。通常のPEには32ビット/ 64ビットの実行可能コードがないので、 "**手動ロード**"にチェックを入れない限り、IDAはヘッダブロックをロードしません。 関連リソース: * MicrosoftのPE COFF specification * マット・ピエトレックの古典Peering Inside the PE: A Tour of the Win32 Portable Executable File Format * その続編(現在はバージョン8.3で)An In-Depth Look into the Win32 Portable Executable File Format * ReversingLabs' Undocumented PECOFF