PE结构学习(6)_重定位表

刺骨的言语ヽ痛彻心扉 2023-10-06 23:34 9阅读 0赞

## 重定位表 ##

### 什么是重定位表 ###

当一个PE文件执行时会加载多个PE文件,而每个被加载的PE文件都有它在内存展开后的起始地址, 这个地址是由此PE文件的imagebase(基址)所决定的

若前面的PE文件占用了后面PE文件的地址, 则后面的PE文件需要重新设置基址, 然后通过重定位表对所有的重定位信息进行修改，而所有的重定位信息都存储在重定位表中

通常一个PE文件会有多张重定位表

### 重定位表的位置 ###

如下代码是重定位表的结构体定义代码

typedef struct _IMAGE_BASE_RELOCATION{
        DWORD VirtualAddress;  //重定位表开始地址
        DWORD SizeOfBlock;   //重定位表大小 
    }IMAGE_BASE_RELOCATION;
    typedef IMAGE_BASE_RELOCATION,*PIMAGE_BASE_RELOCATION

下图包含3个重定位表，最前面弱绿色部分的表格是第一个重定位表, 前8个字节分别存储重定位表的起始地址及其大小,后面的字节存储着需修正的地址,但起始有些地址不需要修正的,后面会详细说明如何确定哪些地址不需要修正

由此可见,一个PE文件可有多个重定义表，那么如何来确定具体有多少个呢?

绿色部分的表格存储了8个0字节, 这也代表着重定位表结构数量的截止位置,因此可以确定一共有3个重定位表

![请添加图片描述][6f43fd7699d74a4bbb9930d10cafa8eb.png]

### 确定重定位表中需修正的地址 ###

重定位表中存储需修正的地址是以二进制的方式进行存储, 所以一个字节存储着8个位的二进制

可以通过高4位来确定这个地址是否要被修正

例如00110011,这个地址的高四位是0011, 换算成十进制值为3, 则这个地址是要被修正的; 而00010011的高四位是0001,换算成十进制值是1,并不等于3, 所以这个值是不用被修正的

类似00010011这些地址为什么不用修正都存储在重定位表中呢? 因为这些地址是内存对齐后的间隙地址, 属于无用数据

为了节省重定位表的存储空间, 将需修正的地址分两部分进行存储,例如下图所示，将401122分为400000与1122

![请添加图片描述][5ec6628e0c3c47e590cf9e62601e370b.png]

[6f43fd7699d74a4bbb9930d10cafa8eb.png]: https://img-blog.csdnimg.cn/6f43fd7699d74a4bbb9930d10cafa8eb.png
[5ec6628e0c3c47e590cf9e62601e370b.png]: https://img-blog.csdnimg.cn/5ec6628e0c3c47e590cf9e62601e370b.png

发表评论取消回复

表情：

评论列表（有 0 条评论，9人围观）

还没有评论，来说两句吧...

相关阅读

相关小甲鱼PE详解之基址重定位详解（PE详解10）

今天有一个朋友发短消息问我说“老师，为什么PE的格式要讲的这么这么细，这可不是一般的系哦”。其实之所以将PE结构放在解密系列继基础篇之后讲并且尽可能细致的讲，不是因为小甲鱼没事

叁歲伎倆/ 2023年10月12日 03:14/ 0 赞/ 11 阅读

相关 PE结构学习(6)_重定位表

重定位表什么是重定位表当一个PE文件执行时会加载多个PE文件,而每个被加载的PE文件都有它在内存展开后的起始地址, 这个地址是由此PE文件的imagebase(

刺骨的言语ヽ痛彻心扉/ 2023年10月06日 23:34/ 0 赞/ 10 阅读

相关 PE结构学习(5)_导入表与导出表

导出表与导入表通常来讲exe文件只有导入表而没有导出表，而dll文件既有导入表也有导出表导出表什么是导出表代码重用机制提供了重用代码的动态链接库,

待我称王封你为后i/ 2023年10月06日 23:34/ 0 赞/ 11 阅读

相关 PE结构学习(2)_PE结构的组成

PE结构的组成 PE结构概述图由下图可得，PE文件主要分为四部分，分别有DOS部分、PE文件头、节表以及节数据 ![请添加图片描述][fab0e4e9cbf14

ゝ一世哀愁。/ 2023年10月06日 23:34/ 0 赞/ 12 阅读

相关 PE结构学习(1)_认识PE文件

认识PE文件什么是PE文件 PE（Portable Executable）文件是Windows操作系统上的一种可执行文件格式。它包含了可执行代码、数据、资源和元数

刺骨的言语ヽ痛彻心扉/ 2023年10月06日 23:34/ 0 赞/ 9 阅读

相关 PE文件重定位概念学习

PE文件基址重定位，Base Relocation。程序编译时每个模块有一个优先加载地址ImageBase,这个值是连接器给出的；因此连接器生成的指令中的地址是在假设模块

亦凉/ 2022年11月11日 14:45/ 0 赞/ 222 阅读

相关 PE文件结构 - 数据目录表学习

数据目录表，是一个结构体数组。数组里的每个元素对应一个数据表。通常有16个。数组每个元素都是一个结构体，结构体如下 typedef struct \_IMAGE\_D

傷城~/ 2022年11月11日 13:26/ 0 赞/ 220 阅读

相关 PE文件结构 - NT头学习

PE文件基本结构如下； ![20210320190359177.PNG][] 学习一下NT头； NT头，包含一个4字节的Signature，以及两个结构体IMAGE\_

悠悠/ 2022年11月11日 13:20/ 0 赞/ 219 阅读

相关 PE格式详细讲解10 – 基址重定位

这一节对于讲来研究病毒原理的研究影响比较大，大家务必要深入理解~ 但是吧，咱的权威教材看雪的《加密与解密》在这一节的讲解上实在不给力，很多初学者看得云里雾里的。大家意见一致啵

怼烎@/ 2022年08月05日 08:13/ 0 赞/ 222 阅读

相关 PE文件格式--------------重定位

一、关于重定位 1、直接寻址指令需要重定位。如：mov eax, dword ptr \[4000c0h\] 注意：call 401000h 是相对寻址，不需要重定位。

朴灿烈づ我的快乐病毒、/ 2021年11月17日 09:08/ 0 赞/ 416 阅读