静态分析：IDA逆向代码段说明 text、idata、rdata、data

转载

mb5ff40c2b7824d 2019-07-10 11:52:00

文章标签 数据段数据代码段封包可执行 文章分类 代码人生

通常IDA对一个PE文件逆向出来的代码中，

存在四个最基本的段text、idata、rdata、data，

四个段为PE文件的结构中对应的段。

一、text段：

该段位程序代码段，在该段一开始就可以看到：

.text:00401000 ; Segment type: Pure code

.text:00401000 ; Segment permissions: Read/Execute

这里的段类型跟权限说明很清楚：分别为代码段和可读可执行。需要注意的是，borland这里叫做code，而不是text

二、idata、rdata、data段

从命名上可以看出，三个段全为存放特殊数据的段，但IDA根据PE文件的格式将数据段中不同类型的数据区分开来。

VC开发工具将INC，LIB，RES放在数据段，DELPHI也类似，同时由于Delphi的窗体文件*.dfm在源代码中使用编译指令{$R *dfm}作为res资源放在数据段中，因此像delphi的反汇编工具dede就根据这些窗体资源数据，分析出相当清晰的源代码与窗体事件的对应地址，当然实现代码还是汇编代码。

1） idata段：

该段在一开始一般有类似下面的说明：

.idata:0049B000 ; Section 2. (virtual address 0009B000)

.idata:0049B000 ; Virtual size : 0001717E ( 94590.)

.idata:0049B000 ; Section size in file : 00018000 ( 98304.)

.idata:0049B000 ; Offset to raw data for section: 0009B000

.idata:0049B000 ; Flags 40000040: Data Readable

.idata:0049B000 ; Alignment : default

.idata:0049B000 ;

.idata:0049B000 ; Imports from ADVAPI32.dll

.idata:0049B000 ;

.idata:0049B000 ; ===========================================================================