XP 使用者模式記憶體空間剖析（五）：系統 DLL 載入佈局以 ntdll.dll 為例

ntdll.dll 模組資訊

基址 0x7C920000，大小 0x93000，入口點 0x7C932C28。對應 4 個 MEM_IMAGE 區塊。

區段對應分析

1. 檔案頭：0x7C920000，大小 0x1000。
2. 代碼段：.text，虛擬位址 0x1000，大小 0x7A000，屬性 Execute Read。
3. 資料段：.data，虛擬位址 0x7B000，檔案原始 0x3200，虛擬大小 0x4A00。記憶體分為三區塊（EXE 通常兩區），推測包含初始化資料、未初始化資料（BSS）與可能的 TLS/其他結構。
4. 資源段：.rsrc，虛擬位址 0x80000，大小 0xF800，屬性 Read Only。
5. 重定位段：.reloc，虛擬位址 0x90000，屬性 Discardable, Read Only。與 .rsrc 合併於同一記憶體區塊，不單獨配置。

其他系統 DLL

載入模式與 ntdll.dll 類似，不再贅述。