PE文件之加载基址

预备知识

OD

Ollydbg通常称作OD，是一个32位汇编级Microsoft的Windows的分析调试器，汇编代码的动态分析工具，特别是在源代码不可用的情况下非常有用。

Winhex

Winhex是一款16进制编辑器。它可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。同时它还可以让你看到其他程序隐藏起来的文件和数据。

关于PE文件的一些基础知识

PE全称为portable executable，是微软Windwos NT，Windows95和Win32子集中的可执行的二进制文件的格式；在Windows NT中，驱动程序也是这种格式。它还能被应用于各种目标文件和库文件中。Win32 SDK中包含一个名叫<winnt.h>的头文件，其中含有很多用于PE格式的#define和typedef定义。

PE头总览

PE头分为5个部分，如下表：

在一个PE文件的开始处，我们会看到一个MS-DOS可执行体（英语叫“stub”，意为“根，存根”）；它使任何PE文件都是一个有效的MS-DOS可执行文件。
在DOS-根之后是一个32位的签名以及魔数0x00004550（IMAGE_NT_SIGNATURE）（意为“NT签名”，也就是PE签名；十六进制数45和50分别代表ASCII码字母E和P——译者注）。
之后是文件头（按COFF格式），用来说明该二进制文件将运行在何种机器之上、分几个区段、链接的时间、是可执行文件还是DLL、等等。（本文中可执行文件和DLL文件的区别在于：DLL文件不能被启动，但能被别的二进制文件使用，而一个二进制文件则不能链接到另一个可执行文件。）
那些之后，是可选头（尽管它一直都存在，却仍被称作“可选”——因为COFF文件格式仅为库文件使用一个“可选头”，却不为目标文件使用一个“可选头”，这就是为什么它被称为“可选”的原因）。它会告诉我们该二进制文件怎样被载入的更多信息：开始的地址呀、保留的堆栈数呀、数据段的大小呀、等等。
可选头的一个有趣的部分是尾部的“数据目录”数组；这些目录包含许多指向各“节”数据的指针。例如：如果一个二进制文件拥有一个输出目录，那么你就会在数组成员“IMAGE_DIRECTORY_ENTRY_EXPORT”（输出目录项）中找到一个指向那个目录的指针，而该指针指向文件中的某节。
跟在各种头后面我们就发现各个“节”了，它们都由“节头”引导。本质上讲，各节中的内容才是你执行一个程序真正需要的东西，所有头和目录这些东西只是为了帮助你找到它们。
每节都含有和对齐、包含什么样的数据（如“已初始化数据”等等）、是否能共享等有关的一些标记，还有就是数据本身。大多数（并非所有）节都含有一个或多个可通过可选头的“数据目录”数组中的项来参见的目录，如输出函数目录和基址重定位目录等。无目录形式的内容有：例如“可执行代码”或“已初始化数据”等。

DOS-根和签名（DOS-stub and Signature）

所有的PE文件都是以一个64字节的DOS头开始。这个DOS头只是为了兼容早期的DOS操作系统。这里不做详细讲解。只需要了解一下其中几个有用的数据。

e_magic