RvaToFileOffset 内存偏移转成文件偏移（滴水课后作业）

最新推荐文章于 2023-12-17 14:49:21 发布
最新推荐文章于 2023-12-17 14:49:21 发布
阅读量690 收藏 1
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kwansy/article/details/106044259
版权
本文介绍了如何将内存偏移RVA转换为文件偏移FOA，通过遍历节表并比较内存偏移和RVA来确定对应节，然后计算实际文件偏移。以Windows XP下notepad.exe的.text节为例，展示了函数的具体应用。
摘要由CSDN通过智能技术生成

题目说明

将内存偏移RVA转成文件偏移FOA的函数;
思路是遍历节表，比较节内存偏移VirtualAddress和RVA，确定RVA所在的节之后，计算RVA距离所在节首地址的偏移offset，然后返回offset+PointerToRawData.

以xp的notepad.exe为例
在这里插入图片描述
.text节的文件偏移是400h,内存偏移是1000h，调用函数结果如下：

printf("%x\n", RvaToFileOffset(pFileBuffer, 0x1000));

在这里插入图片描述

函数源码

// RVA 转 FOA
DWORD RvaToFoa(LPVOID pFileBuffer,
最低0.47元/天 解锁文章
hambaga
关注
节表头解析以及RVA与文件偏移地址的转换
ChuMeng1999的博客
10-18 941
目录预备知识一、相关实验二、节区简介三、Python的struct模块1.struct.pack(fmt, v1, v2, ...)2.struct.unpack(fmt, string)3.fmt支持的部分格式如下图所示实验目的实验环境实验步骤一实验步骤二实验步骤三 预备知识 一、相关实验 本实验要求您已经认真学习和完成了《IMAGE_DOS_HEADER解析》、《PE头之IMAGE_FILE_HEADER解析》、《PE头之IMAGE_OPTIONAL_HEADER解析》。 二、节区简介 PE文件在DOS
c语言偏移一个字节,文件偏移量与C语言中的流定位
weixin_32512187的博客
05-17 1579
一、文件偏移量1、每个打开的文件都有一个与其相关联的“当前文件偏移量”。它通常是一个非负整数，用以度量从文件开始处计算的字节数。2、内核为所有打开的文件维持一张文件表。文件表项包含文件偏移量。3、默认情况下，当打开一个文件时，除非指定O_APPEND选项，否则偏移量为0。4、读、写操作都是从当前文件偏移量处开始，并使偏移量被设置为0.5、两个进程打开同一个文件时，每个进程都会有自己的文件表项(只有...
从内存偏移转换到文件偏移
qq_41610493的博客
01-18 447
/************************************ 函数：RVAToFOA 说明：从内存偏移转换到文件偏移 ***********************************/ BOOL PE::RVAToFOA(DWORD RVA,DWORD &FOA,BOOL IsEnableLog) { / 计算公式： 1. 先计算出此RVA 属于那个节 2. 该节与文件节的差值k 3. RVA - 差 = FOA */ if
RvaToOffset 函数实现
B_H_L的专栏
04-03 1800
DWORD RvaToOffset(PBYTE pMapping, DWORD dwRva) { IMAGE_DOS_HEADER *pidh = (IMAGE_DOS_HEADER *)pMapping; IMAGE_NT_HEADERS *pinh = (IMAGE_NT_HEADERS *)(pMapping + pidh->e_lfanew);
内存偏移(RVA)与文件偏移(offset)相互转换
SauceJ的专栏
09-19 4044
写此文源于前一阵写一个PE修改工具，需要用到内存偏移向文件偏移转化。
RVA VA ImageBase RAW offset关系
ccchu的专栏
08-17 1563
RVA VA ImageBase RAW offset关系 RVA:relative virtrual address VA:virtrual address ImageBase:基地址 RAW offset:物理地址，也就是磁盘文件上的文件偏移地址(File offset)   PE文件在内存中时： 虚拟地址(VA)=基地址(ImageBase)
偏移地址转换内存地址
11-30
本软件是将文件的偏移地址转换成为内存地址，适合于修改文件
python文件偏移量
qq_43513797的博客
03-24 1715
python文件偏移量
C语言文件指针偏移的使用（点阵字库txt文件取字）
殷阳的博客
06-08 3762
从点阵字库txt取字，指向文件内容位置的文件指针是唯一的，无法多个副本分别定位（无法一个文件使用多个指针），这与传统上内存中的指针不同。
滴水逆向——RVA与FOA相互转换
sunr.
04-07 3360
（开始这段别人总结的比较好，我就拿来用了） 1.RVA2FOA 即我们现在知道内存状态下的偏移，需要找到文件状态下的偏移。 步骤如下图： step1：内存中的地址减去内存基址得到偏移，即RVA。 step2：循环遍历节表中各个节的信息，判断在哪个节中。（需要满足：内存偏移+节数据没对齐的大小>image_panyi>内存偏移） step3:找出在哪个节后，减去该节在内存中的偏移...
RVA与Offset的换算函数
weixin_34195546的博客
09-06 193
function RVAToFileOffset(FileName:string; RVA: Cardinal): Cardinal; var   MemPE: TFileStream;   PEDosHead: TImageDosHeader;   PENtHead: TImageNtHeaders;   Section : TImageSectionHeader;   i, Sec...
RVA的值转换成FOA（C语言）
最新发布
qq_53613951的博客
12-17 413
RVA的值转换成FOA
实现虚拟内存地址到文件偏移地址的转换
as you know, nlp is fantasitc!
03-23 720
写在前面：这是一次实践作业，用c来写似乎好写一点，但我比较熟悉python，也找到了python相关的库，就用python来实现下，用一晚上把前天写的代码变成了图形化界面,自学过程中，学到了许多东西，也把很多学过的都实践了一遍 目标： 实现过程： 原理 上课老师讲了原理，其实很好懂，主要是PE文件的结构我不太熟悉，一直反复看，贴下原理吧 实现思路 1、找python有没有操作 pe 相关的库，有一篇参考文章 ，pefile库可以来完成这次的作业 2、找到相关的变量 ImageBase(基址) Virt
FileOffset与RVA的关系
bobopeng
06-15 1484
1.文件偏移地址 (File Offest) 数据在PE文件中的地址叫文件偏移地址,个人认为叫做文件地址更加准确.这是文件在磁盘上存放时相 对文件开头的偏移. 2.装载地址 (Image Base) PE装入内存时的基地址.默认情况下,EXE文件在内存中的基地址是0x00400000,DLL文件是0x10000000. 这些位置可以通过修改编译选项更改. 3.虚拟内存地址 
如何在EXE上绑定一个DLL
tttx的专栏
03-02 2361
下面代码将在EXE文件中重建一个导入表，并将指定的DLL文件作为新的引用添加到导入表中，为什么要这样做呢？呵呵，用得到这种代码的人肯定不会想拿去做什么好事吧，所以用途就不介绍了！顺便说一下，下面代码已经处理了程序的附加数据和绑定引入，不会因为EXE存在附加数据或绑定引入导致添加失败。 #define NTSIGNATURE(a) ((LPVOID)((BYTE *)a + ((PIMAGE_D
PE文件：(2)VA、RVA和FileOffset的理解
weixin_43972499的博客
04-06 1706
PE文件基本概念文件对齐和内存对齐RVA和FileOffsetVA及重定向的概念 基本概念   在PE文件的学习中，我们经常看到RVA，VA，文件偏移，内存偏移这些概念，这些术语到底是什么意思呢？   PE文件主要有两种状态，分别是加载和未加载。未加载时，PE文件内的数据被局限于一个文件内，空间较为有限。而在加载到进程的地址空间之后，PE文件拥有足够的空间来存放文件中的数据，这也就导致了区段存放的空间变大，即每个区段之间的空闲内存变大，因此，区段内的很多数据的地址相对于未加载时就需要往后偏移。   在上一篇
打印出重定位表（C语言实现）
lygl35的博客
07-23 360
主程序 //主程序 outoutpeh.cpp #include <stdio.h> #include <stdlib.h> #include "func.h" typedef int(*lpPlus)(int, int); int main(int argc ,char* argv[]) { //PrintNTHeaders();//打印PE头信息 //TestAddCodeIncodeSec(); //TestAddSecIncode(); //Pri
通过函数名称和序号，打印出导出函数地址（含代码）
lygl35的博客
07-19 992
主程序 //主程序 outoutpeh.cpp #include <stdio.h> #include <stdlib.h> #include "func.h" typedef int(*lpPlus)(int, int); int main(int argc ,char* argv[]) { //PrintNTHeaders();//打印PE头信息 //TestAddCodeIncodeSec(); //TestAddSecIncode(); //Pri
深度偏移技术解析：时间与深度域的转换
"关于深度偏移的几个相关概念——探讨了深度偏移与时间偏移、叠前深度偏移与叠后深度偏移之间的关系，以及法向射线、成像射线、射线偏移和相干反演在地震勘探中的应用与重要性。" 深度偏移是地震勘探中的一项关键...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值