入口点地址和原始入口点有什么区别？

Question

我正在学习PE文件结构，但我对入口点地址和原始入口点的概念感到困惑。我知道入口点的地址可以根据Image_Optional_Header计算，原始入口点可以吗？而入口点地址和原始入口点之间的代码是做什么的？

Answer 1

原始入口点是逆向工程中通常提到的一个概念，用于已通过某种方式修改过的可执行文件，例如被打包程序压缩（或加密）或感染了恶意软件。在修改之前，可执行文件的入口点是原始入口点 (OEP)。当可执行文件被修改时，例如包含在原始代码之前运行的代码存根，可执行文件的入口点将更改为指向新代码。然后存根在完成后引用旧的入口点。因此，一旦存根运行，它将控制权转移到原始入口点的地址，因此修改后的程序仍然可以正常工作（或看起来）。