关于PE 结构的三个误解

资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc

误解通常来自把「工具的输出」当成「结论」。

先说结论

保护只提高成本，反编译不等于源码。

• 保护：提高成本而非阻断
• 反编译：丢类型与意图
• 逆向：建模 + 验证
• 看运行时数据
• 先假设再取证

误解一：加了保护就没法看

导入表只列静态依赖，用 LoadLibrary 加 GetProcAddress 拿到的函数在表里看不到，动态行为要另查。

保护提升的是成本，不是绝对阻断；运行时的数据是真的。

误解二：反编译结果等于源码

节区名可以随意修改，把加密数据放进 .text 是很常见的做法，静态特征因此不可靠。

反编译丢的是类型、命名和意图，这三样恰恰最费时间。

误解三：读懂汇编就会逆向

资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc。

逆向的核心是建模：猜出原来的设计，再验证。

几个具体事实

下面这些是相对确定的细节：

• 资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc

怎么少走弯路

先建立「它应该怎么写」的假设，再去找证据。PE 的关键是两套地址空间，搞混一次就会浪费半天。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• PE 里的 RVA 与文件偏移是两套坐标，换算时必须过一遍 SectionAlignment，差一位就对不上
• 数字签名只覆盖特定区段，在末尾追加数据不一定破坏签名校验
• 32 位与 64 位的调用约定不同，同一段逻辑反编译出来的可读性差别很大，先确认位数再选工具
• 把文件偏移当 RVA 用，断点永远打不中
• 只看导入表就断定程序不联网，动态加载的调用没查
• 忽略资源节，样本体积对不上也不深究

把工具输出当结论，是最贵的误解。