IDA 调试的 cmd.exe 的代码基部与 PE 可选头中的代码基部不符?
这几天学了下 PE 结构的一些知识。今天拿 cmd.exe 练练手,用 eXeScope 查看到的映像基址为 4AD00000h 代码基部为 00001000h,入口点为 00005046h。
于是用 IDA 加载了一下,入口点为 4AD05046h=4AD00000h+00005046h,这个对上了,可是向上翻到 4AD01000h 处,本应该是代码基部的,看到的却是一个 .idata 段,是输入表,接着向下翻到 4AD01300h 处才是代码开始处。
我想知道这是怎么一回事儿?是我忽略了什么还是...?
没发过几个贴,因此不知道发到那个板块好,觉得这个跟反汇编什么的有些关系,就发到这个板块了,如违规请见谅.....