PE文件注入Shellcode后执行异常：入口点不符致访问违规（Windows XP）

以下是导致你遇到Access Violation错误的几个常见原因及对应排查方向：

1. ImageBase与RVA的计算混淆 #

你提到PE文件的ImageBase是0x00401000，AddressOfEntryPoint设为0x1000（RVA），但PE文件的实际执行地址是ImageBase + RVA，也就是0x00401000 + 0x1000 = 0x00402000——这很可能不是你写入Shellcode的.text段内存位置。

正常情况下，PE文件的默认ImageBase是0x00400000，.text段的起始RVA通常是0x1000，对应加载地址0x00401000。你可能误将.text段的加载地址当成了ImageBase，导致EntryPoint指向了错误的内存区域，执行无效代码触发异常。

排查方法：

• 用PE-Bear查看.text段的VirtualAddress（RVA），确认Shellcode写入位置对应的RVA；
• 将AddressOfEntryPoint设置为该RVA，而非固定的0x1000；
• 在OllyDbg内存窗口中，确认ImageBase + AddressOfEntryPoint指向的地址确实是你写入的Shellcode字节数据。

2. .text段的内存属性不匹配 #

默认情况下，PE文件的.text段属性是只读、可执行（RX），如果你的Shellcode包含自修改逻辑（比如解码时需要写入自身内存），或者尝试修改.text段内的数据，就会触发Access Violation。

排查方法：

• 用PE-Bear查看.text段的Characteristics字段，确认是否包含IMAGE_SCN_MEM_WRITE；
• 如果Shellcode需要写入权限，修改该字段为IMAGE_SCN_CNT_CODE | IMAGE_SCN_MEM_EXECUTE | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE（同时开启读写执行权限）；
• 注意：修改段属性后建议重新计算PE文件校验和，XP对校验和要求较宽松，但修正可避免潜在问题。

3. Shellcode的完整性与兼容性问题 #

• Shellcode被截断：如果.text段的RawSize（磁盘存储大小）小于Shellcode长度0x2a1，系统加载时只会读取磁盘上的RawSize字节到内存，剩余部分会被初始化为0，导致Shellcode不完整，执行时出错。需确保.text段的RawSize和VirtualSize都大于等于0x2a1。
• Shellcode不兼容XP：如果Shellcode是针对Windows 7及以上版本编写的，可能使用了XP不存在的API函数，或者调用API的方式（如快速调用）在XP下不支持，导致执行时访问无效内存地址。
• 硬编码地址错误：Shellcode如果使用绝对地址而非相对偏移（比如直接JMP到固定地址），而该地址在XP系统中不属于目标进程的内存空间，会触发Access Violation。

4. PE文件修改时的对齐错误 #

PE文件的磁盘存储（RawOffset）和内存加载（VirtualAddress）有不同的对齐规则：磁盘对齐是FileAlignment，内存对齐是SectionAlignment。如果你写入Shellcode时超出了.text段的磁盘对齐范围，或者修改后段的大小违反对齐规则，会导致内存中加载的Shellcode与磁盘内容不一致，执行错误代码。

排查方法：

• 确认Shellcode的写入位置在.text段的RawOffset到RawOffset + RawSize范围内；
• 如果Shellcode长度超过.text段剩余磁盘空间，需调整.text段的RawSize和VirtualSize，确保符合PE文件的对齐要求。

5. 调试时的加载异常 #

虽然你提到PE文件是非动态基址，但OllyDbg在部分配置下可能强制开启ASLR，或者加载了其他挂钩模块导致内存布局变化。可以在OllyDbg的模块窗口中，确认目标PE文件的实际加载基址是否与ImageBase一致，以及.text段的内存地址是否正确。

内容的提问来源于stack exchange，提问作者Hossein Ahmadi