AddressOfEntryPoint in exe Finden

[Tigerass 2.0]

Hallo Leute,

vielleicht kann mir jemand mal etwas ein bisschen erklären
Ich spiele zz mit PE-Headern, etc rum, und Versuche gerade, den Einsprungspunkt eine exe statisch Auszulesen.
Also von einer Beliebigen exe die Ersten Paar ASM-Befehle Auslesen
Zur Zeit bekom ich das Offset dafür so:

DWORD Start = (NtHeaders->OptionalHeader.AddressOfEntryPoint - 0xC00);

Jetzt meine Frage:
Ist dieses 0xC00 bei jedem Windows-System Gleich, und was ist das Überhaupt? Ich Tippe mal auf Die Größe des Headers, fragen geht aber schneller als ausprobieren . Und muss ich sonst noch irgendwas beachten?

2.Frage nur so nebenbei:
Was macht dieser ASM-Code:

xor edx,edx    ;edx auf null setzten
mov dl,30       ;0x30 in edx schreiben
push fs:[edx] ;?
pop edx         ;was steht jetzt in edx?

LG Tigerass

 

[Hancock]

Also zu 1:
Microsoft sagt dazu:
AddressOfEntryPoint: The address of the entry point relative to the
image base when the executable file is loaded into memory. For program images,
this is the starting address. For device drivers, this is the address of the
initialization function. An entry point is optional for DLLs. When no entry
point is present, this field must be zero
Das Problem an der Geschichte: Du weißt nicht, welche section dort sein wird und um wie viel verschoben, also ist das 0xC00 willkürlich und vollkommen unabhängig vom BS aber abhängig von der EXE.

2. http://en.wikipedia.org/wiki/Win32_Thread_Information_Block

 

[Tigerass 2.0]

Vielen Dank

LG Tigerass

 

[asdfman]

Auch dazu habe ich mal was gemacht: https://github.com/SirDzstic/Windows-Optimizer/blob/master/projects/inject/inject.c
Der Code ist älter und hässlich, aber es sollte verständlich sein, wie es geht.

€: Oder auch etwas neuer hier:
https://github.com/SirDzstic/cryptpe/blob/master/cryptpe/loader.c