PE2-PE节表的拉伸和偏移

川长思鸟来 2022-05-08 00:34 272阅读 0赞

## 学习节表前先手动解析节表 ##

![在这里插入图片描述][70]  
左边的16进制就是一堆节表，右边的窗口可以看见text，rdata等等，这里显示的就是节表的名字

**节表是什么？**  
简单来说，节表就是描述节的信息，像一本书的目录一样  
节表的数量由FILE头中的NumberOfSections来控制  
![!\[][70 1]

DOS头->PE标记->FILE头->可选PE头->节表

节表就存在于可选PE头的后面

--------------------

但是节表里存储的信息远远不止3个

//节表信息
    typedef struct _IMAGE_SECTION_HEADER {
        BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];//该节的名字
        union {
                DWORD   PhysicalAddress;
                DWORD   VirtualSize;//节表虚拟大小
        } Misc;
        DWORD   VirtualAddress;//虚拟地址
        DWORD   SizeOfRawData;//文件中的大小
        DWORD   PointerToRawData;//文件中的地址
        DWORD   PointerToRelocations;
        DWORD   PointerToLinenumbers;
        WORD    NumberOfRelocations;
        WORD    NumberOfLinenumbers;
        DWORD   Characteristics;//该节的属性
    } IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

## 我们需要关注的是这个节的名字，虚拟地址和文件中地址，虚拟大小和文件中的大小，这个虚拟从何而来？ ##

![在这里插入图片描述][70 2]  
当一个PE文件被双击执行以后，会向操作系统申请创建进程等等，，，  
**首先就是拉伸PE文件，根据节表中的节虚拟偏移，虚拟大小来重新拉伸一个ImageBuffer，这个过程被称为PE Loader**

--------------------

当我们在某个地方存储了一个数据，在文件中的偏移与在内存中的偏移是有区别的，所以也就存在了文件地址和虚拟地址的互相转换`(在PE文件中写入一个数据，保证运行起来{拉伸}以后这个数据还能正确读取等等)`  
![在这里插入图片描述][70 3]

--------------------

当一个PE文件被拉伸后，内存中大致的样子  
![在这里插入图片描述][70 4]

--------------------

## 虚拟地址和文件中地址的转换方法 ##

【名词解释】：
    ·基地址(ImageBase).
    ·虚拟地址(Virtual Address, VA).
    ·相对虚拟地址(Relative Virtual Address, RVA).
    ·文件偏移地址(File Offset) 又称 物理地址(RAW Offset).
    
    【计算公式】：
    ·相对虚拟地址(RVA) = 虚拟地址(VA) - 基地址(ImageBase).
    ·虚拟地址(VA) = 相对虚拟地址(RVA) + 基地址(ImageBase).
    ·文件偏移(File Offset) = 相对虚拟地址(RVA) - 该地址所在节的虚拟偏移(Virtual Offset) + 该地址所在节的物理偏移(Raw Offset).
    ·相对虚拟地址(RVA) = 文件偏移(File Offset) - 该地址所在节的物理偏移(Raw Offset) + 该地址所在节的虚拟偏移(Virtual Offset).

[70]: /images/20220508/bde1fb4de48a4c8c8b88006d00acf1b5.png
[70 1]: https://img-blog.csdn.net/20181008095840624?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70
[70 2]: /images/20220508/c7db1c3a6c1a4ed2b133c19fa3d1ceb2.png
[70 3]: /images/20220508/9c3ada3223b945e08a9936d919e7d3ae.png
[70 4]: /images/20220508/b02bebd9a5724cba972c1f00fa75bdca.png