PE 格式解析

何时使用 / 何时不用

• 用：目标是 Windows PE 文件（.exe/.dll/.sys），需要理解结构、找壳特征、定位入口/TLS 回调、映射 RVA 与文件偏移
• 不用：ELF（走 [[re-format-elf]]）、Mach-O（走 [[re-format-macho]]）；只需函数逻辑（直接反编译技能）
• 不用：只需快速结论（初勘走 [[re-triage]]）

工具准备

参考 [[re-analyze/platform-tips]] 平台分支——Windows 目标可静态分析免沙箱，动态执行一律沙箱。

objdump（binutils）

• Linux: apt install binutils / dnf install binutils / pacman -S binutils
• macOS: brew install binutils（gobjdump）
• Windows/WSL: WSL 内 Linux 版
• 验证: objdump -V
• 注意: 对 PE 用 objdump -p / objdump -x（readelf 不解析 PE，属非直接工具——只用于对照 ELF 侧知识）