笔记:PE结构(7)重定位表解析

原创 已于 2022-09-03 16:31:20 修改 · 330 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#windows

于 2022-09-03 16:30:52 首次发布
本文详细探讨了PE文件结构中的重定位表，解释了如何确定真正需要修改的内存位置，以及如何根据VirtualAddress和SizeofBlock计算块内的2字节数据。重定位过程涉及对2字节数据的低12位处理，以及高4位的特殊含义。此外，还介绍了如何找到下一个重定位结构的位置，并阐述了如何修改地址指向的值，确保程序在新的内存地址正确执行。对于重定位表修复后是否需要修改IMAGEBASE的问题，文中并未明确给出答案。
重定位表 偏移位于 可选头最后一个成员：
0x60 _IMAGE_DATA_DIRECTORY DataDirectory[16]; 第6个目录
指向重定位表的偏移 :
IMAGE_DIRECTORY_ENTRY_BASERELOC
struct _IMAGE_DATA_DIRECTORY {
0x00 DWORD VirtualAddress;   RVA  模块基址/句柄  + VirtualAddress =重定位表在内存中的位置
0x04 DWORD Size;  没用
};
最低0.47元/天 解锁文章
Q324411601
关注
[网络安全自学篇] 六十二.PE文件逆向之PE文件解析、PE编辑工具使用和PE结构修改（三）
杨秀璋的专栏
03-25 1万+
本系列虽然叫“网络安全自学篇”，但由于系统安全、软件安全与网络安全息息相关，作者同样会分享一些系统安全案例及基础工具用法，也是记录自己的成长史，希望大家喜欢，一起进步。前文分享了数字签名，采用Signtool工具对EXE文件进行签名，接着利用Asn1View、PEVie、010Editor等工具进行数据提取和分析。本文将详细介绍PE文件格式，熟悉各种PE编辑查看工具，针对目标EXE程序新增对话框等，这也为后续PE病毒和恶意代码的攻防打下扎实基础。希望这篇基础文章对您有所帮助~
PE文件解析（5）：重定位表详解
ylh的博客
11-02 2131
1、重定位表的作用 重定位表（Relocation Table）用于在程序加载到内存中时，进行内存地址的修正。 重定位表通过IMAGE_BASE_RELOCATION的结构体。 重要字段通过重定位表的大小可以定位可以确定这个表中有多少个数据。通过 SizeOfBlock - 0x8 可以得到DWORD型偏移的总大小，偏移数据占据2个字节，因此再除以2可以得到偏移数据的个数。注意：当我们得到某个偏移数据后，他只是个RVA，还需要加上VirtualAddress才是它真正的地址。 运行可得：我们的重定位表不止
PE-重定位表
qq_51600802的博客
10-27 1054
按照上述思路，可写代码打印重定位表的信息（不打印具体项，但按照上面公式打印具体项的数量）但这里注意一个问题，就是遍历这个重定位表，是根据这一块的 VirtualAddress 和 SizeOfBlock 结束后，下一块 VirtualAddress 和 SizeOfBlock 是否全0 来判断重定位表是否结束的。1、每个程序都有一个独立的4G内存空间，当你双击一个程序时，操作系统就为你开辟一个虚拟的4g内存空间，然后就开始贴图，将各个PE文件贴到内存空间，当贴完之后，eip指向程序入口点就开始跑了。
PE重定位表解析
windows小菜鸡的博客
08-17 1099
1、重定位表的作用 在模块被加载到内存中，如果该模块没有装载到期待的位置，里面以固定形式而不是以偏移形式硬编码的地址就需要修正，这样程序才能被正确加载。 例如：CALL 401203。这个在编译器编译的时候将CALL后面的函数地址以硬编码的形式固定住，那么一旦模块不是被加载到40000的基址，而是被加载到100000，则这条函数调用指令就不能正确找到函数，这时候就需要修正这个401203为1001203才可以。这就需要重定位表了 2、重定位表的位置 可选PE头中数据目录项的第6个结构就是重定位表。 注意：
PE结构-重定位表
小喇叭儿滴滴的吹
03-04 491
首先，先来说一下为什么需要重定位表，先来观察一段程序 00401000 >/$ 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL 00401002 |. 68 1D204000 push 0040201D ...
PE文件学习笔记（四）：重定位表（Relocation Table）解析
热门推荐
Apollon_krj的博客
08-18 2万+
1、重定位表的作用重定位表（Relocation Table）用于在程序加载到内存中时，进行内存地址的修正。为什么要进行内存地址的修正？我们举个例子来说：test.exe可执行程序需要三个动态链接库dll（a.dll，b.dll，c.dll），假设test.exe的ImageBase为400000H，而a.dll、b.dll、c.dll的基址ImageBase均为1000000H。 那么操作系统的
WIN32 PE结构 重定位表
whl0071的专栏
02-25 299
什么是重定位： 重定位就是你本来这个程序理论上要占据这个地址，但是由于某种原因，这个地址现在不能让你占用，你必须转移到别的地址，这就需要基址重定位。你可能会问，不是说过每个进程都有自己独立的虚拟地址空间吗？既然都是自己的，怎么会被占据呢？对于EXE应用程序来说，是这样的。但是动态链接库就不一样了，我们说过动态链接库都是寄居在别的应用程序的空间的，所以出现要载入的基地址被应用程序占据了或者被其它的DLL占据了，也是很正常的，这时它就不得不进行重定位了。 哪些数据需要重定位： :00401000 55...
PE文件自学笔记（二）：Section Table结构解析
qq_37835724的博客
11-13 620
1.Section Table结构解析 Section Table（节表）是记录PE文件中各个节的详细信息的集合，其每个成员是struct _IMAGE_SECTION_HEADER结构体，即节表是一个结构体数组来维护，属于线性结构。而节表的相对起始位置为：紧接着可选PE表。即：DOS头 + 中间空闲及垃圾数据 + NT头（三部分：4字节签名+标准PE头20字节+可选PE头）。 #defin...
从零起步到持证上岗：PE工程师职业价值全解析与进阶路径指南
# PE工程师的职业定位、能力进阶与未来竞争力全景解析 在现代制造业的浪潮中，一位优秀的制程工程师（Process Engineer, PE）早已不再是“调机修线”的代名词。他更像是一位**制造系统的架构师**——左手握着数据...
深入解析PE结构及其压缩技术
当PE文件不能被加载到其首选的基地址时，重定位表提供了修改内存中指令和数据位置所需的信息。 4. **调试信息**： PE文件可以包含调试信息，以便开发者调试程序时使用。这部分信息通常在发布软件时被剥离以减小...
PE格式解析-重定位表分析
走在成长的路上
12-28 1263
对PE格式中的重定位表进行分析
PE结构之重定位表
輚至消亡
09-27 668
什么是重定位： 重定位就是你本来这个程序理论上要占据这个地址，但是由于某种原因，这个地址现在不能让你占用，你必须转移到别的地址，这就需要基址重定位。你可能会问，不是说过每个进程都有自己独立的虚拟地址空间吗？既然都是自己的，怎么会被占据呢？对于EXE应用程序来说，是这样的。但是动态链接库就不一样了，我们说过动态链接库都是寄居在别的应用程序的空间的，所以出现要载入的基地址被应用程序占据了或者被其它的DLL占据了，也是很正常的，这时它就不得不进行重定位了。 哪些数据需要重定位： :00401000 55...
PE文件（八）导出表
最新发布
2301_78838647的博客
07-13 1645
重定位表的引入程序加载过程在win32下，每一个PE文件（其可能由多个子PE文件组成）在运行时，操作系统会给分配一个独立的4GB虚拟内存，内存地址从0x00000000到0xFFFFFFFF。其中低2G为用户程序空间，高2G为操作系统内核空间。并且操作系统会将该文件中数据拉伸成内存中数据，从ImageBase开始，分配SizeOfImage大小空间当一个主PE文件由很多个子PE文件组成，当我们运行主PE文件时，所有的PE文件共享操作系统分配的一个4GB虚拟空间。
PE结构&基址重定位表
寻梦&之璐
02-03 8442
重定位表定位 重定位表为数据目录中注册的数据类型之一，其描述信息处于数据目录的第6个目录项中， 重定位表所在地址RVA=0x1F000 重定位数据大小=39C RVA转FOA后可以得到文件偏移地址为0x9800 重定位表项IMAGE_BASE_RELOCATION 与导入表类似，重定位表指针指向的位置就是一个数组，而不像导出表一样只有一个结构，这个数组的每一项都是如下结构： IMAGE_BASE_RELOCATION STRUCT VirtualAddress dd ? ;重定位内存页的起始RV
PE文件解析--重定位表
qq_31125257的博客
12-22 671
一、系统加载程序的过程 双击打开一个exe时，系统会为该exe创建一个进程，分配独立的虚拟4G空间。低2G为用户空间，前后64k不会被分配，0-FFFF用于做各种检查，空指针一般就指向这里；后64K用于与内核交互，高2G空间是内核使用的 一般情况下，exe都是可以按照ImageBase的地址进行加载的，因为exe是第一个贴进虚拟4G空间的，但DLL文件不是；DLL文件是有exe使用它的时候才会加载到相应的exe进程空间；当然DLL也可以被另一个DLL调用； 当DLL文件加载到进程空间的时候，可能会出现
PE_修正重定位表
qq_42363151的博客
09-25 423
PE
pe 重定位表修正表 作用学习笔记
黑子风暴
05-28 247
.windpws系统 exe 文件 中的重定位表 重定位表一般应用在DLL中 举例: 1.exe 加载2个DLL a.dll =内存地址 0x1000000 第二个载入 分配内存 b.dll =内存地址 0x2000000 1.exe call 2000001 调用 意思是调用b.dll中的函数 但是 b.dll 中存在一个call 0x1000001 硬编码 绝对地址 b.dll 加载到内存中2000000 本应该是call 0x2000001 但是在
手工解析PE(将重定位表移动到新增节中)
GNAIXGNAHZ的博客
07-03 340
手工解析PE(将重定位表移动到新增节中)
【PE结构】重定位表
SMOne
06-30 1959
一、前言 二、PE整体结构 三、DOS头 四、NT头 五、区段头 六、导出表 七、导入表 八、资源表 九、重定位表 1.概念 重定位表 存的是PE文件中需要修改（变量数据）的地址的位置。 全局变量和局部静态变量在PE文件数据段中。 程序代码在寻址这些变量时，用的不是偏移RVA，而是直接地址VA。 2.使用规则 我们知道VA=基址+RVA，而基址默认是...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值