RAW与RVA

悠悠 2022-12-18 00:58 164阅读 0赞

# 前言 #

本文描述节区RAW与RVA之间的的转换

RAW：文件偏移  
RVA：相对虚拟地址（是指相对与ImageBase的偏移）

# 节区数据结构 #

typedef struct _IMAGE_SECTION_HEADER { 
      BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
      union { 
        DWORD PhysicalAddress;
        DWORD VirtualSize;
      } Misc;
      DWORD VirtualAddress;
      DWORD SizeOfRawData;
      DWORD PointerToRawData;
      DWORD PointerToRelocations;
      DWORD PointerToLinenumbers;
      WORD  NumberOfRelocations;
      WORD  NumberOfLinenumbers;
      DWORD Characteristics;
    } IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

相关成员介绍

<table> 
 <thead> 
  <tr> 
   <th>member</th> 
   <th>description</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>VirtualSize</td> 
   <td>节区加载到内存中节区所占内存大小</td> 
  </tr> 
  <tr> 
   <td>VirtualAddress</td> 
   <td>节区在内存的相对虚拟地址，为RVA</td> 
  </tr> 
  <tr> 
   <td>SizeOfRawData</td> 
   <td>节区占磁盘的大小</td> 
  </tr> 
  <tr> 
   <td>PointerToRawData</td> 
   <td>节区在文件中的偏移</td> 
  </tr> 
 </tbody> 
</table>

VirtualSize可能大于PointerToRawData，PointerToRawData也可能大于VirtualSize

VirtualSize按照SectionAlignment对齐，SizeOfRawData按照FileAlignment对齐。节对齐是按照内存分页大小对齐，Win32下最小4K，文件对齐按照文件系统的最小存储单位对齐，一个扇区最小521K。

# 计算公式 #

`RVA = VA - ImageBase`  
`RAW = RVA - VirtualAddress + PointerToRawData`

举例

PE在磁盘时              PE在内存时
                 |  ......  |          |  ......  |   
    -->0x00000400+----------+          +----------+0x01001000<--
                 |7800 .text|          |7800 .text| 
    -->0x00007c00+----------+          +----------+0x01009000<--
                 |800  .data|          |800  .data|
    -->0x00008400+----------+          +----------+0x0100B000<--
                 |  ......  |          |  ......  |

ImageBase为0x01000000

假如知道内存地址0x01005000（进程运行在虚拟地址空间，多以这个地址是虚拟地址VA）

`RVA = VA - ImageBase = 0x01005000 - 0x01000000 = 0x5000`

需要RVA的值在哪个节区，然后计算出RAW，可以通过下面伪代码找到RVA所在的节区：

DWORD RvaToRaw(WORD rva, IMAGE_SECTION_HEADER *pSectionHeaders, DWORD NumberOfSection)
    { 
    	int i;
    	IMAGE_SECTION_HEADER *pSec = pSectionHeaders;
    	for (i = 0; i < NumberOfSection; i++)
    	{ 
    		if (rva >= pSec->VirtualAddress && rva <= pSec->VirtualAddress + pSec->Misc.VirtualSize)
    		{ 
    			return (rva - pSec->VirtualAddress + PointerToRawData);
    		}
    		pSec++;
    	}
    	return -1;
    }

`RAW = RVA - VirtualAddress + PointerToRawData = 0x5000 - 0x1000 + 0x400 = 0x4400`  
可以找到RAW对应的是.text段

如果`VirtualSize > SizeOfRawData`，存在`SizeOfRawData < RVA - VirtualAddress < VirtualSize`这种情况，通过`RAW = RVA - VirtualAddress + PointerToRawData`这个公式会找不到正确的RAW，通过该公式计算到的RAW范围是：PointerToRawData到PointerToRawData +VirtualSize

而文件中节区的RAW范围是：PointerToRawData到PointerToRawData+ SizeOfRawData

如RVA为0xABA8，该RVA对应内存中的.data段，`RWA = 0XABA8 - 0x9000 + 0x7C00 = 0x97A8`，通过计算的到的RAW = 0x97A8并不落在PE文件的.data段。

发表评论取消回复

表情：

评论列表（有 0 条评论，164人围观）

还没有评论，来说两句吧...

相关阅读

相关 Android res/raw文件以及raw与res/assets异同

Android res/raw文件以及raw与res/assets异同通常，如果Android开发者有些文件比如音频，视频，.html，.mp3等等这些文件不希望编

刺骨的言语ヽ痛彻心扉/ 2024年02月17日 16:30/ 0 赞/ 49 阅读

相关 python raw_input 与 input 的区别

raw\_input 是python 2x 中独有功能，python 3x 已经已经删除raw\_input 所以在python 3x 中使用raw\_input 会报错的

蔚落/ 2023年01月15日 06:59/ 0 赞/ 194 阅读

相关 RAW与RVA

前言本文描述节区RAW与RVA之间的的转换 RAW：文件偏移 RVA：相对虚拟地址（是指相对与ImageBase的偏移）节区数据结构 typed

悠悠/ 2022年12月18日 00:58/ 0 赞/ 165 阅读

相关 python编程input与raw_input

运行环境Python2.7.6 input和raw\_input作为输入语句，其不同之处在于： 1、当输入的内容为字符串时，用input语句必须加上“”号，否则报错，而

Myth丶恋晨/ 2022年08月27日 10:56/ 0 赞/ 149 阅读

相关 raw socket

ipv4: 1.创建收发二层报文的raw socket: socket(PF\_PACKET, SOCK\_RAW, 0); 或者 socket(PF\_PACKE

╰半夏微凉°/ 2022年08月27日 07:57/ 0 赞/ 178 阅读

相关 PE 节表、对齐值、RVA

通常，区块中的数据在逻辑上是关联的。PE 文件一般至少都会有两个区块：一个是代码块，另一个是数据块。每一个区块都需要有一个截然不同的名字，这个名字主要是用来表达区块的用途。例如

一时失言乱红尘/ 2022年08月26日 13:22/ 0 赞/ 209 阅读

相关 RAW_SOCKET

sock\_raw原始套接字编程可以接收到本机网卡上的数据帧或者数据包,对与监听网络的流量和分析是很有作用的.一共可以有3种方式创建这种socket 1.socket(

我不是女神ヾ/ 2022年08月10日 06:26/ 0 赞/ 178 阅读

相关 raw socket

背景 -------------------- 我们平常所用到的网络编程都是在应用层收发数据，每个程序只能收到发给自己的数据，即每个程序只能收到来自该程序绑定的端口的数

谁践踏了优雅/ 2022年08月09日 03:15/ 0 赞/ 203 阅读

相关 android raw与assets区别

[android raw与assets区别][android raw_assets] \res/raw和assets的相同点： 1.两者目录下的文件在打包后会原封不动的保存

朱雀/ 2022年06月15日 10:26/ 0 赞/ 217 阅读

相关 Raw expression

报错 Raw expression: v-bind="{ {title}}" 源码： <Modal v-model="display" fullscr

深藏阁楼爱情的钟/ 2022年01月27日 17:07/ 0 赞/ 242 阅读