PE文件偏移地址分析

最新推荐文章于 2021-04-24 16:39:52 发布
最新推荐文章于 2021-04-24 16:39:52 发布
阅读量1.6k 收藏 6
点赞数 1
分类专栏： 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_44723038/article/details/103008497
版权

实验环境：Windows 10，LordPE，PEView

PE文件结构：PEview打开PE文件，可观察到PE文件的结构，由MZ文件头、DOS插桩程序、节表头、节（.text,.rdata,.data,.idata,.reloc）组成。
在这里插入图片描述

  • PE文件被执行后，PE装载器首先检查MZ头及DOS头是否有签名，从而判定该PE文件是否有效，再读入PE头的总体信息，接着读取节表中的节信息，映射至内存，再根据PE文件中的导入表（IT）读取INT表和IAT表，INT表是存储函数名称、DLL名称信息，IAT表存储函数偏移地址等。PE文件运行时，从INT加载信息，把动态函数地址写入IAT中。
    在这里插入图片描述
    在这里插入图片描述
    。这几个表都在.idata节中，通过LordView可查找出.idata的节偏移，如下图所示：
    在这里插入图片描述
    可计算出.idata节偏移 
最低0.47元/天 解锁文章
PE文件的相对虚拟地址（RVA）和文件偏移地址（FOA）的转换
12-27 1万+
RVA（相对虚拟地址）和FOA（文件偏移）的具体含义大家可以看看《Windows PE 权威指南》或者是小甲鱼的PE结构详解视频，我相信大家看完之后一定会理解的，我这里就不写这些概念了。之所以会产生两者的转换，是因为同一个文件在硬盘和内存中的对齐方式不一样，我们可以通过IMAGE_OPTIONAL_HEADER结构体的SectionAlignment（内存对齐方式）和FileAlignment（文
Windows PE文件常识
最新发布
qq_15054345的博客
03-15 480
不同模块的基地址一般式不同的，但是也有特殊情况，如果两个的基地址相同，就有曹子系统来决定这两个模块在虚拟地址空间中的额具体位置。该概念属于操作系统中的概念——每个空间都有独立的4GB（32为环境下）或者2^64B的虚拟地址空间，在这个空间中定位的地址为虚拟内存地址，在PE中，进程本身的VA等于：进程的基地址+相对虚拟内存地址。此类地址是一种特殊地址，其计算方法不是从文件头或者内存某个某开的额基地址算起，而是从某个特定的位置算起，这种地址在PE结构中很少见，例如在资源表中就出现过这样的地址。
文件 偏移 基址_PE文件涉及的地址概念
weixin_36352719的博客
01-12 909
本文参考了 @旋风火鸡 的文章，链接如下：旋风火鸡：PE可执行文件格式详解​zhuanlan.zhihu.com虚拟地址（Virtual Address, VA），PE文件被加载开始运行后，进程的可执行代码、数据所在的地址空间称为虚拟地址空间，代码和数据在该空间内的地址称为虚拟地址。相对虚拟地址（Reverse Virtual Address, RVA），相对虚拟地址是虚拟地址相对于映射基址的偏移...
PE偏移
weixin_43229322的博客
09-13 289
±--------±--------±--------±--------±--------±--------+ | 段名称 虚拟地址 虚拟大小 物理地址 物理大小 标志 | ±--------±--------±--------±--------±--------±--------+ | Name VOffset VSize ROffset RSiz...
我认识的PE文件之相对虚拟地址 + 文件偏移地址
知其所以然
07-11 3151
-------------------------------相对虚拟地址 -------------------------------------------------- 在可执行文件中，有很多地方需要指明内存中的地址，例如：引用全局变量时，需要制定它的地址。PE文件的尽管有一个首选的载入地址，但是，它们可以再入到进程的空间的任何地方，所以不能依赖于PE的载入点，由于这个原因，必须有一个方
PE结构各字段偏移参考
lei_saint的专栏
03-02 2042
PE结构各字段偏移参考 headerimageimportalignmentlinkerfile Complete PE Offset Reference While there is a lot of data and various parts of the structure are at varying positions there are
商业编程-源码-PE文件分析器.zip
06-21
当PE文件在不同地址加载时，重定位表允许程序修正内部指针以适应新的内存位置。还有可能涉及到调试信息的解析，这对于调试和理解代码流程非常有用。 在安全角度，PE文件分析可以用于检测恶意软件。例如，分析器可能...
PE文件结构分析
11-27
**PE文件结构分析** PE（Portable Executable）文件格式是Windows操作系统中用于执行程序的标准文件格式，它包含了代码、数据、资源以及运行时所需的其他信息。深入理解PE文件结构对于软件开发、逆向工程和安全分析...
PE文件结构分析（包括DOS头、节表的详解+最小化压缩/修改PE文件思路实现讲解）
05-11
1. 节表：列出PE文件的所有节，每个节都有名称、虚拟地址（RVA）、大小、物理地址（FOA）等信息。 2. RVA（Relative Virtual Address）：内存中相对节基地址的虚拟地址，不受文件实际位置影响。 3. FOA（File Offset...
PE文件结构（二） 区块，文件偏移与RVA转换
billvsme的专栏
10-02 3940
PE文件结构（二） 参考 书：《加密与解密》 视频：小甲鱼 解密系列 视频 区块 在区块表 后面的就是一个一个区块，每个区块占用对齐值的整数倍，一般的文件都有代码块 跟 数据块（ 它们的名字一般为.text 跟 .data 但这是可以修改的）。每个区块的数据具有相同的属性。编译器先在obj中生成不同的区块， 链接器再按照一定的规则合并不同obj跟库中的快。例如每个obj中肯定有.text 块， 连接器就会把它们合并成一个单一的.text 块；再如，如果两个区块具有相同的的属性就有可能被合
PE文件格式学习之PE头移位
weixin_30809173的博客
10-24 202
以前刚开始学网络安全，是从免杀开始的。记得那时候杀毒软件还很弱。金山江民瑞星还存在。 那会什么原理也不懂，就一直瞎鼓捣。（后来转入渗透行列了） 这段时间一直在学PE格式，突然想起来以前很古老的PE文件头移位。 网上搜了搜，看大家虽然做了视频，但是竟然没人讲原理。借着刚好在学PE格式的知识，就做个PE文件头移位的笔记。（不喜勿喷，刚学PE头文件格式，难免出错请提点，谢谢） 当然现在...
文件 偏移 基址_[PE](3)PE文件头部解析
weixin_36406678的博客
12-16 461
一、DOSMZ头首先是IMAGE_DOS_HEADER头部，字段后面的偏移是基于IMAGE_DOS_HEADER的typedef struct _IMAGE_DOS_HEADER { // DOS .EXE header WORD e_magic; 0000h // Magic number //EXE...
文件的偏移地址
11-07 302
转看雪：http://bbs.pediy.com/showthread.php?s=&threadid=18022    +---------+---------+---------+---------+---------+---------+ |  段名称   虚拟地址  虚拟大小  物理地址  物理大小   标志   | +---------+---------+---------+-
PE内存偏移与文件偏移相互转换
Leo的专栏
03-23 3025
写此文源于前一阵写一个PE修改工具，需要用到内存偏移向文件偏移转化。想着这种简单的代码网上应该一大把，百度了一下，没找到。又google，又没找到，可能是自己搜索的功力太不到家了。着急用，只好自己写了一个函数用来转换。相信很多人做PE开发的时候都会有这个需求，把这个函数贴出来供大家参考，大牛莫耻笑。原理比较简单：首先判断这个地址是否在PE头中，如果在，文件偏移和内存偏移相等，如果存在于文件的区段中
PE查找文件偏移地址
weixin_30371469的博客
06-03 381
节（section） 相对虚拟偏移量RVA（） 文件偏移量 .text 0x1000 0x0400 文件偏移地址 = 虚拟内存地址(VA) - 装载地址(ImageBase) - 节偏移(RVA-节偏移) 查找内存中0x404141 处的指令 ImageBase=0x400000 ， 在文件中的偏移量： 文件偏移量 = 0...
【PE学习----VA、RVA、File Offset】
jyw1111的专栏
03-29 2368
参考了《Windows_PE权威指南》这本书 VA   (Virual Address)  虚拟地址   程序被载入od中 如该图显示的就是虚拟地址VA； RVA（Relative Virual Address）相对虚拟地址，表示此段代码在内存中相对于基地址的偏移。 File Offset 文件偏移地址 ：当PE文件存储在磁盘上时，某个数据的位置相对于文件头的偏移量，称为文件地址。即C
理解PE文件相对虚拟地址(RVA)到文件偏移的转换
热门推荐
松哥(jccz_zys)的专栏
03-12 1万+
        关于PE文件格式的详细描述在网络上可以找到一大堆，最近有空，我也来研究一把。读了很多参考资料，应该说都讲得非常清晰，尤其是看雪学院的iamgufeng翻译的那篇文章，读来受益非浅。       根据我这个菜鸟的阅读感受与实践来说来看，我觉得根据RVA正确换算出到数据相对文件的偏移这个细节这些文章都没有做过多的说明，而这是我唯一化比较多时间来思考的地方。下面我就说说我对此的理解，
PE文件格式（一）
AlienEowynWan的博客
04-24 3415
简介 PE文件是Windows操作系统下使用的可执行文件格式 PE文件指的是32位的可执行文件，也称作PE32；64位的可执行文件称作PE+或PE32+（注意不是PE64），这是PE文件的一种扩展形式。 PE文件种类 可执行系列：EXE、SCR 驱动程序系列：SYS、VXD 库系列：DLL、OCX、CPL、DRV 对象文件系列：OBJ 除了OBJ之外的文件都是可执行的，有些虽然不能直接在Shell（Explorer.exe)中运行，但是可以使用调试器等来运行。不过，根据PE文件规范，OBJ也是做是PE文件
PE文件格式偏移参考
Fly20141201. 的专栏
07-20 1174
在进行PE文件格式病毒分析的时候，经常要使用到PE文件格式的解析，尤其是对LoadPE形式的病毒的分析，经常要查看PE文件格式的偏移，特地从博客《PE文件格式的偏移参考》中转载收录一份，之前在网上也看到比较不错的有关PE文件偏移的博客，但忘了收录。在进行PE文件格式的病毒分析时，还会经常参考这篇博客《PE文件格式学习笔记》，博主关于PE文件格式的学习笔记写的不错，其他的参考书籍《加密与解密（第3版...
VC++开发的PE文件分析工具详解
PE文件分析工具的主要目的，是为开发者提供一种手段来查看和理解PE文件内部结构和内容，如头信息、节表、导入表、导出表、资源等。这对于调试程序、逆向工程、恶意软件分析和安全分析来说尤其重要。 4. PE文件头...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值