为何NASM的ndisasm与dumpbin.exe对同一PE文件反汇编结果不同？

你遇到的差异本质是两个工具处理PE可执行文件的逻辑完全不同，你忽略的关键细节就是：

• ndisasm 默认从文件的字节起始位置开始反汇编，但PE可执行文件的开头是DOS stub（MZ头）——这是给DOS系统兼容保留的冗余内容，根本不是你写的程序的实际指令。
• dumpbin 是专门识别PE文件格式的工具，它会自动跳过DOS stub、PE头这些非代码部分，直接定位到PE文件的.text代码段（也就是你写的汇编程序编译后的实际机器码）进行反汇编。

对应你的例子拆解： #

1. 你步骤5里的十六进制开头 4D 5A 是DOS头的标志性签名（对应ASCII的"MZ"），ndisasm把这些非指令的文件头字节错误解析成了指令：

   00000000 4D dec ebp
   00000001 5A pop edx
   

   这部分内容和你写的汇编程序完全无关，只是误读了文件头。

2. 而dumpbin输出的00401000开始的内容，才是你写的汇编程序真正编译后的机器码——比如push eax、call 00401FF5这些，对应你代码里的call DumpRegs和INVOKE ExitProcess等核心逻辑。

小技巧：让ndisasm正确反汇编你的代码 #

如果你想用ndisasm得到和dumpbin一致的结果，可以先用dumpbin的/headers参数查看PE文件的段信息，找到.text段的文件偏移，然后用ndisasm -u -p intel -s <偏移值> add3.exe指定从代码段起始位置开始反汇编。

内容的提问来源于stack exchange，提问作者ramana_k