通常IDA對一個PE文件逆向出來的代碼中，

存在四個最基本的段text、idata、rdata、data，

四個段為PE文件的結(jié)構(gòu)中對應(yīng)的段。

一、text段：

該段位程序代碼段，在該段一開始就可以看到：

.text:00401000 ; Segment type: Pure code
.text:00401000 ; Segment permissions: Read/Execute

這里的段類型跟權(quán)限說明很清楚： 分別為代碼段和可讀可執(zhí)行。需要注意的是，borland這里叫做code，而不是text?

二、idata、rdata、data段

從命名上可以看出，三個段全為存放特殊數(shù)據(jù)的段，但IDA根據(jù)PE文件的格式將數(shù)據(jù)段中不同類型的數(shù)據(jù)區(qū)分開來。

VC開發(fā)工具將INC，LIB，RES放在數(shù)據(jù)段，DELPHI也類似，同時由于Delphi的窗體文件*.dfm在源代碼中使用編譯指令{$R *dfm}作為res資源放在數(shù)據(jù)段中，因此像delphi的反匯編工具dede就根據(jù)這些窗體資源數(shù)據(jù)，分析出相當清晰的源代碼與窗體事件的對應(yīng)地址，當然實現(xiàn)代碼還是匯編代碼。

1） idata段：

該段在一開始一般有類似下面的說明：

.idata:0049B000 ; Section 2. (virtual address 0009B000)
.idata:0049B000 ; Virtual size : 0001717E ( 94590.)
.idata:0049B000 ; Section size in file : 00018000 ( 98304.)
.idata:0049B000 ; Offset to raw data for section: 0009B000
.idata:0049B000 ; Flags 40000040: Data Readable
.idata:0049B000 ; Alignment : default
.idata:0049B000 ;
.idata:0049B000 ; Imports from ADVAPI32.dll
.idata:0049B000 ;
.idata:0049B000 ; ===========================================================================
.idata:0049B000
.idata:0049B000 ; Segment type: Externs
.idata:0049B000 ; _idata

明顯是一個Imports函數(shù)的代碼段，這里集中所有外部函數(shù)地址，代碼中會先跳到該地址后再執(zhí)行，PE文件加載器在開始會獲取真實的函數(shù)地址來修補idata段中的函數(shù)地址。

與之對應(yīng)的exports是edata，

表面上看PE文件對該段的定位是特殊數(shù)據(jù)段。

2）rdata段

名字上看就是資源數(shù)據(jù)段，程序用到什么資源數(shù)據(jù)都在這里，資源包括你自己封包的，也包括開發(fā)工具自動封包的。

3）data段

這個段存放程序的全局數(shù)據(jù)、全局常量等。

?

【轉(zhuǎn)】https://www.cnblogs.com/lsgxeva/p/8947829.html

轉(zhuǎn)載于:https://www.cnblogs.com/hshy/p/11163018.html

總結(jié)

以上是生活随笔為你收集整理的静态分析：IDA逆向代码段说明 text、idata、rdata、data的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。