PE 标头入口点 RVA
我在虚拟机上分析非 .net、x86 机器类型、pe32 可执行恶意软件时遇到问题。入口点字段不为 NULL，因此排除从 0x0 开始执行。
当我在挂起状态下创建进程后在入口点中断调试器时，该程序设法在入口点之前调用。我在这里有点困惑，这究竟是如何工作的？
I am having an issue with a non .net, x86 machine type, pe32 executable piece of malware I am analyzing on a virtual machine. The entry point field is not NULL so this rules out execution starting at 0x0.
When I break with a debugger at the entry point after creating the process in a suspended state, this program is managing to get calls out before the entry point. I am a little confused here, how exactly can this work?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
系统在应用程序入口点之前调用 TLS（线程本地存储）回调。这是一篇关于此的博客文章。
TLS (thread-local-storage) callbacks are called by the system before the application entry point. Here is a blogpost about that.