-o-k's story

기초 정적 분석_PE 파일 notepad.exe(ver. Win 10) NT_Header 첫번째 signature : 4byte공간 PE구조 파일 명시 50 45: PE(아스키) 두번째 File_Header 1. Machine(CPU): 0x8664-AMD64 CPU/0x014c-Intel CPU 호환 2. 섹션의 개수: 0x0005 3. Time Data: 0x144CAAC5→340568773 - 계산하는 방법(예): /60=20792156분 35초, /60=346535시간 56분, /24=14438일 23시, /365=39년 203일 - (컴퓨터 기준)1970년 1월 1월 0시 + 39년 203일 23시 35초 = 2009년 7월 13일 23시 56분 35초 4. Pointer To Symbol Ta..

기초 정적 분석_PE 파일 notepad.exe(ver. Win 10) Notepad.exe [IMAGE_DOS_HEADER] 첫번째 주소(5A4D): 앞에서 4D5A로 표현되어 있는데 이것을 보고 리틀엔디안인지 빅엔디안인지 알 수 있다. Window System에서는 리틀엔디안이 사용되기 때문에 역순으로 적혀있다. 헤더에서 signature 정보(MZ) winnt.h [IMAGE_DOS_HEADER] 단위: WORD(16진수를 4자리씩 끊어서 읽음) IMAGE_DOS_HEADER 내용은 거의 0으로 패딩된 것을 볼 수 있다. 그 중에서 중요한 정보 e_magic - 4D 5A(MZ): PE파일 구조_실제로는 5A 4D로 읽는다. - D0 CF 11 E0(OLE), 50 4B(ZIP), 25 50 44 ..