怎么看PE 结构：观察顺序

导入表只列静态依赖，用 LoadLibrary 加 GetProcAddress 拿到的函数在表里看不到，动态行为要另查

观察顺序错了，会在一堆细节里迷失。正确的顺序是：每层只问一个问题。

先说结论

每层只回答一个问题，才不会乱。

• 文件层：做什么
• 加载层：放哪里
• 运行层：怎么走
• 先看字符串与导入
• 有假设再下断点

三层各问什么

导入表只列静态依赖，用 LoadLibrary 加 GetProcAddress 拿到的函数在表里看不到，动态行为要另查。

先看字符串和导入

节区名可以随意修改，把加密数据放进 .text 是很常见的做法，静态特征因此不可靠。

字符串和导入表是成本最低的线索，能省掉大量反汇编时间。

几个具体线索

下面这些是相对确定的细节：

• 资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc

什么时候下断点

等你已经能写出「它大概会调用哪个函数」的假设，再下断点验证。PE 的关键是两套地址空间，搞混一次就会浪费半天。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• PE 里的 RVA 与文件偏移是两套坐标，换算时必须过一遍 SectionAlignment，差一位就对不上
• 数字签名只覆盖特定区段，在末尾追加数据不一定破坏签名校验
• 32 位与 64 位的调用约定不同，同一段逻辑反编译出来的可读性差别很大，先确认位数再选工具
• 把文件偏移当 RVA 用，断点永远打不中
• 只看导入表就断定程序不联网，动态加载的调用没查
• 忽略资源节，样本体积对不上也不深究

观察的顺序，决定了效率。