解析PE文件导出表地址时CFF Explorer与MSDN文档的数值差异疑问

你混淆了PE结构中偏移的基准位置，这是问题的核心：

• 首先，*(LibraryA + 0x3C)（即e_lfanew）指向PE签名（"PE\0\0"）的文件偏移，这里是0x100。
• PE签名之后紧跟IMAGE_FILE_HEADER（大小固定为0x14字节），再之后才是IMAGE_OPTIONAL_HEADER（可选头）。
• MSDN文档中提到的导出表偏移0x60，是相对于可选头起始位置的偏移，而非相对于PE签名的偏移。
• 从PE签名到导出表的总偏移计算：
  1. PE签名本身占4字节
  2. IMAGE_FILE_HEADER占0x14字节
  3. 可选头内到导出表的偏移0x60
     三者相加：4 + 0x14 + 0x60 = 0x78（十进制120），这正好是你代码里的+120，也和CFF Explorer显示的导出表地址0x100 + 0x78 = 0x178完全一致。

简单来说，MSDN的0x60是可选头内部的偏移，而你代码里的120是从PE签名开始算的总偏移，两者的基准不同，所以数值看起来不一样，但实际指向的是同一个位置。

内容的提问来源于stack exchange，提问作者Nerios