PE 结构的工具链与取舍

节区名可以随意修改，把加密数据放进 .text 是很常见的做法，静态特征因此不可靠

工具解决的是「看得见」的问题，判断还是要靠人。

先说结论

工具要少而熟。

• 静态：看结构
• 动态：看数据
• 辅助：做批量
• 先用熟的描述问题
• 效率来自脚本

三类工具

按这个分工选：

导入表只列静态依赖，用 LoadLibrary 加 GetProcAddress 拿到的函数在表里看不到，动态行为要另查。

怎么选

节区名可以随意修改，把加密数据放进 .text 是很常见的做法，静态特征因此不可靠。

先用最熟的那个把问题描述清楚，再换工具验证。

几个具体经验

下面这些是相对确定的细节：

• 资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc

别做的事

把文件偏移当 RVA 用，断点永远打不中。

换工具不能代替思考，只会让你更晚发现问题。

一句提醒

PE 的关键是两套地址空间，搞混一次就会浪费半天。

工具链稳定下来之后，效率提升来自脚本，不来自新工具。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• PE 里的 RVA 与文件偏移是两套坐标，换算时必须过一遍 SectionAlignment，差一位就对不上
• 数字签名只覆盖特定区段，在末尾追加数据不一定破坏签名校验
• 32 位与 64 位的调用约定不同，同一段逻辑反编译出来的可读性差别很大，先确认位数再选工具
• 把文件偏移当 RVA 用，断点永远打不中
• 只看导入表就断定程序不联网，动态加载的调用没查
• 忽略资源节，样本体积对不上也不深究

工具是手脚，判断是脑子。