从Windows GCC编译的PE文件中读取int变量值失败的问题

你找不到目标值的核心原因主要有两个：Windows平台的小端字节序存储，以及可能的编译器优化行为，下面逐一拆解：

1. 小端字节序导致字节顺序反转 #

十进制68639977转换为4字节十六进制是0x04175CE9（int在Windows GCC下默认是4字节，需补全前导零凑足长度）。而Windows采用小端字节序，数据在内存和PE文件中会按字节逆序存储，实际写入文件的字节序列是：
E9 5C 17 04

你之前直接搜索4175CE9（既没补全前导零，也没考虑字节序反转），自然无法匹配到目标数据。

2. 编译器优化可能跳过内存存储 #

如果GCC使用了默认优化级别（如-O1/-O2），编译器会识别到局部变量a的操作逻辑简单，直接将其放到CPU寄存器中处理，完全不会写入.data段甚至栈内存。这种情况下，你在PE文件里根本找不到这个值的存储。

解决这个问题的两种方法：

• 编译时强制关闭优化：执行gcc -O0 your_code.c -o your_exe.exe，确保变量会被分配到栈内存（局部变量）；如果把a改成全局变量，关闭优化后会被放到.data段，静态文件中就能找到
• 将a声明为全局变量：把int a = 68639977;移到main()函数外面，无论优化级别如何，这个值都会被写入.data段，方便静态查找

验证步骤 #

1. 用命令gcc -O0 test.c -o test.exe编译代码（假设你的代码文件是test.c）
2. 打开十六进制编辑器，在生成的test.exe中搜索字节序列E9 5C 17 04
3. 如果改成全局变量，直接搜索上述字节序列就能在.data段定位到目标值

内容的提问来源于stack exchange，提问作者popouu