您可以检查IMAGE_LOAD_CONFIG_DIRECTORY结构，它有一个字段，用于指向SecurityCookie图像中的值。

在非常旧的二进制文件中，可能不使用此结构，或者SecurityCookie即使二进制文件可能使用/GS. 在这种情况下，您可以扫描@__security_check_cookie@4函数的特征代码签名：

3B0D........7501C3E9 (VC7)  
3B0D........0F85........C3 (VC7?)  
3B0D........7502F3C3E9 (VC8+)

您还可以扫描BB40E64E二进制文件中的初始 cookie 值 ( )。虽然我猜这可能会产生一些误报。