PE 结构：结构决定了一切

PE 里的 RVA 与文件偏移是两套坐标，换算时必须过一遍 SectionAlignment，差一位就对不上

逆向的第一课不是工具，是「这个东西本来该长什么样」。

先说结论

结构读对了，一半的问题自己会消失。

• 先看头部：格式与位数
• 再看段表：布局与对齐
• 入口点不等于 main
• 重定位影响静态地址
• 交叉验证：资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc

先看骨架

导入表只列静态依赖，用 LoadLibrary 加 GetProcAddress 拿到的函数在表里看不到，动态行为要另查。

结构对了，字段名可以慢慢猜；结构错了，猜对也是错的。

关键字段

节区名可以随意修改，把加密数据放进 .text 是很常见的做法，静态特征因此不可靠。

几个具体细节

下面这些是相对确定的细节：

• 资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc
• 数字签名只覆盖特定区段，在末尾追加数据不一定破坏签名校验

常见的读错方式

把文件偏移当 RVA 用，断点永远打不中。

只看导入表就断定程序不联网，动态加载的调用没查。

怎么验证自己读对了

用一个已知的工具交叉验证：PE 的关键是两套地址空间，搞混一次就会浪费半天。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• PE 里的 RVA 与文件偏移是两套坐标，换算时必须过一遍 SectionAlignment，差一位就对不上
• 32 位与 64 位的调用约定不同，同一段逻辑反编译出来的可读性差别很大，先确认位数再选工具
• 把文件偏移当 RVA 用，断点永远打不中
• 忽略资源节，样本体积对不上也不深究

逆向不是猜，是核对。