PE header入口点RVA

Question

我遇到了一个非虚拟机上正在分析的非.net，x86机器类型，pe32可执行的恶意软件问题。入口点字段不是NULL，因此这排除了从0x0开始执行。

当我在创建处于挂起状态的进程之后在入口点处与调试器断开时，此程序设法在入口点之前发出调用。我在这里有点困惑，这个工作到底如何？

Answer 1

系统在应用程序入口点之前调用TLS（线程本地存储）回调。这是关于这个的blogpost。