转储PE从存储器文件保存到磁盘

Question

欲倾倒在磁盘上的处理的图像，然后执行它

• I中列出的过程模块
• 我用readprocessmemory读取的exe
的存储器范围

但是当我尝试执行它失败，我可以解决这个问题吗？

谢谢

Answer 1

你不能。当你将PE加载到内存中时（我假设你使用ImageHlp.pas中的MapAndLoad），它将模块加载到内存中并加载数据，但它不会通过并重新将所有指针标准Windows加载程序的功能。

应用程序中的指针都将是相对地址，它们实际上并不指向它们应该指向的内容。

如果您足够了解RVA和映射的工作方式，则可以分析代码，但实际上无法执行它。