记一次 PEview 的报错修正

记一次 PEview 的报错修正

从《逆向工程核心原理》中提到的 https://reversecore.com/111 中下载的 PEview 在处理 32 位程序时其它目录都还行，当点到 IMAGE_NT_HEADERS——>IMAGE_FILE_HEADER 中就会有如下图所示的报错。

参考 a1ee 师傅的文章我自己复现了一遍并把所思所想记录下来。

首先把程序载入 xdbg 中打开，点击报错的地方，在日志栏可以看到异常触发于 0x404788 。

异常记录 EXCEPTION_DEBUG_INFO:我也看不太懂， ExceptionInformation[01]: 3140AA50 Inaccessible Address 意思应该是访问地址 3140AA50 导致的访问异常，异常码为 C0000005 (EXCEPTION_ACCESS_VIOLATION)

转到 0x404788 处发现是一个 rep movsb 指令，但是此时已经没有运行时的环境参数了，所以我们得再运行一遍看看是哪个寄存器存入了越界地址。实践中发现该段指令是一个循环，所以我们不能直接在 0x404788 处下断点，得先打开 PEview 加载好所有东西，在点击 IMAGE_FILE_HEADER 栏之前才下断点。

要注意的是下了点击后卡的第一次还没发现日志中的异常值，循环了3次后才找到，说明点击 IMAGE_FILE_HEADER 栏时要在该段指令中循环好几次，第三次才有异常产生。

现在知道是 esi 寄存器了，我们需要知道谁给 esi 赋的错误的值：

总结：
这是我第一次处理程序异常，虽然是跟着 a1ee 的文章复现的，但我有自己的分析。
1：xdbg 调试，查看日志中的异常位置和异常类型及异常寄存器值。
2：慢慢溯源确定函数或代码，如果是系统函数就看人为能修改的参数部分，其它另说。
3：这次异常原因是获取日期格式化显示时我们地区是中文 unicode 字符，所以导致缓冲区溢出，多多积累~