节表头解析以及RVA与文件偏移地址的转换

预备知识

一、相关实验

本实验要求您已经认真学习和完成了《IMAGE_DOS_HEADER解析》、《PE头之IMAGE_FILE_HEADER解析》、《PE头之IMAGE_OPTIONAL_HEADER解析》。

二、节区简介

PE文件在DOS头以及PE文件头部分以后的数据便是节表以及多个不同的节区，节表中包含多个节表头，每一个节表头对应PE文件的一个节区。
PE文件一般至少有两个节区：一个是数据块、一个是代码块。每个节区都有一个名字，用于区分节区的用途，如数据块的名字通常为.data，代码块的名字通常为.text。使用节区名字只是为了方便人们区分不同的节区，实际上节区名字可以随便修改，因为这对操作系统而言是无关紧要的。
在PEiD中查看一个PE文件的节区，通常看起来都像下面这个样子：

三、Python的struct模块

使用Python的struct模块可以实现将数据序列转换为指定类型的数据，并且能够指定是大端模式还是小端模式，同时，struct模块也支持将指定类型的数据转换为数据序列。
struct模块中最常用的两个函数为pack以及unpack：

1.struct.pack(fmt, v1, v2, …)

将v1、v2等数据按照fmt指定的格式转换为数据序列，函数返回一个字符串序列。

2.struct.unpack(fmt, string)

将数据序列string按照fmt指定的格式进行拆分，是pack函数的逆操作，函数返回一个列表（即使只有一个数据也是返回一个列表）。

3.fmt支持的部分格式如下图所示

fmt的第一个字符用于指定是大端模式还是小端模式，其中小端模式使用字符“<”，大端模式使用字符“>”。
比如需要将\x4D\x5A按照小端模式转换为WORD类型（也就是unsigned short）的数据，那么执行struct.unpack("<H", “\x4D\x5A”)[0]即可，得到的值为0x5A4D，如下图所示：

实验目的

1）学习PE文件节表头以及节区知识；
2）掌握RVA与文件偏移地址的转换算法；
3）编程实现RVA与文件偏移地址的转换。

实验环境

服务器：Windows XP，IP地址：随机分配
辅助工具：C32Asm、PEiD、Python

实验步骤一

节表头以及节区分析。