第三章软件调试基础

原创于 2025-08-11 19:35:31 发布 · 505 阅读

CC 4.0 BY-SA版权

文章标签：

7 篇文章

订阅专栏

源代码通过编译和连接后形成可执行文件。可执行文件之所以可以被操作系统加载且运行，是因为它们遵循相同的规范

PE（Portable Executable）是 Win32 平台下可执行文件遵守的数据格式。常见的可执行文件（如“.exe”文件和“.dll”文件）都是典型的PE文件。

还可能出现.reloc，.edata，.tls，.rdata

加壳的全称应该是可执行程序资源压缩，是保护文件的常用手段

加壳的程序可以直接运行，但是不能查看源代码，需要脱壳才可以查看

加壳其实是利用特殊的算法，对EXE、DLL文件里的代码、资源等进行压缩、加密。

解压过程完全隐蔽，都在内存中完成
它们附加在原程序上通过Windows加载器载入内存后，先于原始程序执行，得到控制权，执行过程中对原始程序进行解密、还原，还原完成后再把控制权交还给原始程序，执行原来的代码部分。
加上外壳后，原始程序代码在磁盘文件中一般是以加密后的形式存在的，只在执行时在内存中还原，这样就可以比较有效地防止破解者对程序文件的非法修改，同时也可以防止程序被静态反编译。

加壳工具在文件头里加了一段指令，告诉CPU，怎么才能解压自己。

加壳工具通常分为压缩壳和加密壳两类。

为了防止用户程序访问并篡改操作系统的关键部分，Windows使用了2种处理器存取模式：用户模式和内核模式。
Windows 的内存可以被分为两个层面：物理内存和虚拟内存。其中，物理内存非常复杂，需要进入Windows内核级别才能看到。
- 用户模式下：看到的内存地址都是虚拟内存，用户编制和调试程序时使用的地址称为虚拟地址或逻辑地址，其对应的存储空间称为虚拟内存或逻辑地址空间
- 计算机物理内存访问地址称为实地址或物理地址，其对应的存储空间称为物理存储空间或主存空间
- 程序进行虚地址到实地址转换的过程称为程序的再定位。
Windows系统，运行PE文件的时候，操作系统自动加载该文件到内存，并称其为4GB的虚拟存储空间，然后继续执行，形成了进程空间。在该空间中定位的地址称为虚拟内存地址（VA）
Windows装载器在装载的时候仅仅建立好虚拟地址和PE文件之间的映射关系，
- 只有真正执行到某个内存页中的指令或访问某一页中的数据时，这个页才会被从磁盘提交到物理内存。
- 但因为装载可执行文件时，有些数据在装入前会被预先处理（如需要重定位的代码），装入以后，数据之间的相对位置也可能发生改变。因此，一个节的偏移和大小在装入内存前后可能是完全不同的。

调试漏洞的时候，需要进行的操作如下：

文件偏移地址：数据在PE文件中的地址叫文件偏移地址，这是文件在磁盘上存放时相对于文件开头的偏移。
装载基址：PE 装入内存时的基地址。默认情况下，EXE文件在内存中的基地址是0x00400000，DLL 文件是0x10000000。这些位置可以通过修改编译选项更改。
虚拟内存地址： PE 文件中的指令被装入内存后的地址。
相对虚拟地址：相对虚拟地址是内存地址相对于映射基址的偏移量。

关系如下：

VA = Image Base + RVA