将pe文件从内存转储到磁盘答案

【问题标题】：dump pe file from memory to disk将pe文件从内存转储到磁盘
【发布时间】：2010-10-17 18:03:19
【问题描述】：

我想在磁盘上转储一个进程映像，然后执行它

但是当我尝试执行它失败了。我该如何解决这个问题？

谢谢

【问题讨论】：

【解决方案1】：

你不能。

当您将 PE 加载到内存中时（我假设您正在使用 ImageHlp.pas 中的 MapAndLoad），它会将模块加载到内存中并加载数据，但它不会以这种方式重新调整所有指针标准的 Windows 加载程序可以。

应用程序中的指针都是相对地址，实际上并不指向它们应该指向的内容。

如果您对 RVA 和映射的工作方式有足够的了解，则可以分析代码，但实际上无法执行它。

【讨论】：

有些应用程序具有此功能，因此并非不可能。
嗯，它可能使用了其他方法，很可能复制了 Windows 加载程序的功能。来源是否可用？你能检查一下，看看尤达是怎么做的吗？
LordPE 可以在freewareapp.com/lordpe_download 找到，它是免费软件。没有可用的来源。我怀疑 LordPE 只是检查进程，找到链接到它的文件，然后修改原始可执行文件而不是进程内存。