PE中FOAToRVA和RVAToFOA

最新推荐文章于 2023-12-17 14:49:21 发布

原创最新推荐文章于 2023-12-17 14:49:21 发布 · 1.3k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#PE

PE 专栏收录该内容

4 篇文章

订阅专栏

本文介绍了在PE文件中进行FOA(File Offset Address)与RVA(Relative Virtual Address)之间的相互转换方法。通过具体算法实现了如何根据不同区域定位并计算地址偏移，对于理解PE文件结构及内存映射具有重要意义。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

FOAToRVA

//pFileBuffer是传进PE文件的起始指针、dwRva是传进要修改的FOA的值
DWORD  FOAToRVA(LPVOID pFileBuffer,DWORD dwRva)  //LPVOID相当于VOID* 
{  
    int i;
    /*判该FOA是位于Section中还是位于HEADERS中（如果RVA是小于第一个区块的PointerToRawData，
    那么它在文件中的偏移和在内存镜像中的偏移是一样的,都是应该小于SizeOfHeaders*/
    if(dwRva<pSectionHeader->PointerToRawData)
    {
        return dwRva;
    }
    /*判断FOA在那个区块里*/
    for(i=0;i<pFileHeader->NumberOfSections;i++)
    {
    if((dwRva>=pSectionHeader->PointerToRawData)&&
    (dwRva<(pSectionHeader->PointerToRawData+pSectionHeader->SizeOfRawData)))
        {
        //区块里FOA转RVA公式
            dwRva=pSectionHeader->VirtualAddress+dwRva-pSectionHeader->PointerToRawData;
       // pSectionHeader是全局变量，还原初值，以便其他函数的调用  
            pSectionHeader=(PIMAGE_SECTION_HEADER)((DWORD)pOptionHeader+pFileHeader->SizeOfOptionalHeader);
            return dwRva;
        }
        pSectionHeader++;
    }
}

RVAToFOA

//pFileBuffer是传进PE文件的起始指针、dwRva是传进要修改的RVA的值
DWORD  RVAToFOA(LPVOID pFileBuffer,DWORD dwRva)  
{  

    int i;
    //判该RVA是位于Section中还是位于HEADERS中（RVA是小于第一个区块的VirtualAddress的那么它在文件中的偏移和在内存镜像中的偏移是一样的,都是应该小于SizeOfHeaders）
    if(dwRva<pSectionHeader->VirtualAddress){
        return dwRva;
    }
    /*判断RVA在那个区块里*/

for(i=0;i<pFileHeader->NumberOfSections;i++)
{
        if((dwRva>=pSectionHeader->VirtualAddress)&&
        (dwRva<(pSectionHeader->VirtualAddress+pSectionHeader->SizeOfRawData)))
        {
        //区块里RVA转FOA公式
            dwRva=pSectionHeader->PointerToRawData+dwRva-pSectionHeader->VirtualAddress;
        // pSectionHeader是全局变量，还原初值，以便其他函数的调用   
            pSectionHeader=(PIMAGE_SECTION_HEADER)((DWORD)pOptionHeader+pFileHeader->SizeOfOptionalHeader);
            return dwRva;
        }
        pSectionHeader++;
    }

}