为何转储不同程序PEB中ImageBaseAddress处数据时，有的能看到MS-DOS头有的看不到？

程序对PE头页的映射策略差异 #

• 现代Windows的普通用户态程序（包括新版notepad.exe）在完成模块加载、导入表解析等初始化流程后，通常会主动调用NtUnmapViewOfSection，将存放MS-DOS头、PE签名、节表的最初两个内存页从进程地址空间中完全撤销映射。这类页面既不保留可读权限，也不关联实际物理内存，调试器尝试转储该地址时自然无法读到以MZ魔数（0x5A4D）开头的MS-DOS结构。
• svchost.exe属于系统关键进程，大多运行在PPL（受保护进程）模式下，系统强制要求其PE头所在页面必须长期保持为可读的映像映射状态，不允许被进程自身逻辑撤销映射，因此转储对应地址时可以直接观测到完整的MS-DOS头结构。

PEB字段读取的错位问题 #

• 当调试器位数与被调试进程位数不匹配时（例如用64位调试器附加运行在WOW64层的32位进程，或反向场景），会因为PEB结构在不同位数下的字段偏移定义不同，读取出错位的ImageBaseAddress值——拿到的不是进程实际的PE加载基址，而是相邻PEB字段的错误值，对这个错误地址做转储自然无法匹配到MS-DOS结构。
• 开启强制*ASLR（地址空间布局随机化）*保护的进程，实际PE加载基址会在PEB初始化完成后被系统动态偏移，部分旧版调试器没有同步刷新PEB中缓存的ImageBaseAddress值，也会导致转储地址和实际PE头位置出现偏移错位。

调试器自身的转储行为差异 #

• 多数调试器遇到不可读、未提交的内存区域时，默认会输出“不可访问内存”的占位提示，不会强行绕过权限读取该区域；部分调试器的连续内存显示逻辑会自动跳过无权限页面，把分散的可读内存内容拼接展示，很容易让调试者误以为目标地址处不存在MS-DOS结构。
• svchost这类系统进程的PE头页属于内核映射的只读映像页，普通调试权限即可无阻碍读取；而普通用户进程的PE头页如果被设置为PAGE_NOACCESS保护属性，调试器在没有提权的状态下也无法读取到对应内容。

内容的提问来源于stack exchange，提问作者Alex