使用Python拆解Windows PE32的.data段为何未得到预期数据定义格式？

你现在遇到的核心问题是用错工具了——Capstone是用来反汇编可执行代码的，而.data段里存储的是初始化的数据（比如全局变量、常量），不是CPU能执行的指令。所以你把.data的字节喂给Capstone，它会强行把这些数据当成x86指令来解析，自然得到一堆无意义的汇编指令，这完全不是你想要的结果。

为什么无法直接得到你预期的格式？ #

PE文件本身并不记录.data段里每个变量的名称和数据类型（比如是DW还是DB）——这些信息是编译/链接时的高级语言元数据，只会保存在调试符号文件（.pdb）里，PE文件本身只存储原始的二进制字节。所以如果没有对应的PDB，你没法直接还原出example_var DW 12345这种带变量名和类型的格式。

不过，你可以解析.data段的原始字节，以类似汇编数据定义的格式展示出来，比如按字节、双字节、四字节分组，或者识别字符串。

修改后的代码示例 #

下面是调整后的代码，专门处理.data段，输出类似DB/DW的格式，还会尝试识别ASCII字符串：

import pefile

def parse_data_section(fpath):
    pe = pefile.PE(fpath)
    for section in pe.sections:
        # 处理段名里的空字符，准确匹配.data段
        section_name = section.Name.decode().strip('\x00')
        if section_name != '.data':
            continue
        
        print(f"=== {section_name} 段内容 ===")
        data = section.get_data()
        base_addr = pe.OPTIONAL_HEADER.ImageBase + section.VirtualAddress

        # 1. 按字节（DB）展示
        print("\n; 字节形式（DB）:")
        for i in range(0, len(data), 16):  # 每行显示16个字节
            chunk = data[i:i+16]
            addr = base_addr + i
            hex_str = ' '.join(f"0x{b:02x}" for b in chunk)
            # 尝试转成ASCII，非可打印字符用.代替
            ascii_str = ''.join(chr(b) if 32 <= b <= 126 else '.' for b in chunk)
            print(f"0x{addr:08x}: db {hex_str} ; {ascii_str}")

        # 2. 按双字节（DW）展示
        print("\n; 双字节形式（DW）:")
        for i in range(0, len(data) - 1, 2):
            addr = base_addr + i
            word = int.from_bytes(data[i:i+2], byteorder='little')  # x86是小端序
            print(f"0x{addr:08x}: dw 0x{word:04x}")

        # 3. 尝试识别连续的ASCII字符串
        print("\n; 识别到的ASCII字符串:")
        current_str = []
        for i, b in enumerate(data):
            if 32 <= b <= 126:
                current_str.append(chr(b))
            else:
                if len(current_str) >= 4:  # 只保留长度>=4的字符串
                    str_addr = base_addr + i - len(current_str)
                    print(f"0x{str_addr:08x}: db '{''.join(current_str)}'")
                current_str = []
        # 处理最后一段字符串
        if len(current_str) >=4:
            str_addr = base_addr + len(data) - len(current_str)
            print(f"0x{str_addr:08x}: db '{''.join(current_str)}'")

if __name__ == "__main__":
    parse_data_section("your_pe_file.exe")

关键说明 #

• 小端序处理：x86架构是小端字节序，所以解析双字/四字时要注意字节顺序。
• 符号缺失限制：如果没有PDB文件，没法获取变量名和确切的类型定义（比如某个字节序列是DW还是DD），只能按固定长度分组展示。如果需要完整的变量名和类型，你需要加载对应的PDB文件，可以用pefile结合其他符号解析库（比如pdbparse）来实现，但这会复杂很多。
• Windows环境兼容：上面的代码用的pefile和Python本身都可以在Windows环境运行，不需要Linux工具，符合你的要求。

内容的提问来源于stack exchange，提问作者f23aaz