PE 重定位

PE 重定位简述

当 PE 文件被加载进虚拟内存却并非加载到 PE 头所指定的 ImageBase 处时（如 ASLR 机制），我们就说发生了 PE 重定位。比如说我们某一个 PE 文件的 ImageBase 为 0x400000，然而加载时却被加载到了 0xDC0000，这就是发生了重定位。

重定位不是简简单单的更改了映像基址这么简单，文件中可能存在一些硬编码地址，这些硬编码地址是和 PE 头指定的 ImageBase 相适应的。一旦发生了重定位，内存中的内存基址就不再和这些硬编码的地址相适应，运行时就会出现问题。

举个例子，PE 头中的 ImageBase 是 0x400000，而代码段中有这样一句指令 call dword ptr ds:[0x4003C0] ，它的十六进制机器码为 FF 15 C0 03 40 00 ，这里 0x4003C0 就是硬编码的地址，它是写死在磁盘的文件中的。当程序被加载到 0x400000 时，这句指令将正常工作；而当程序被加载到了 0xDC0000 时，如果没有经过重定位修复，这句指令很明显将会执行出错，而重定位之后，内存中的这句指令将变成 call dword ptr ds:[0xDC03C0] ，可以正常执行。

因此，重定位的主要工作是修复这些硬编码的地址，使之与新的映像基址相适应。然而程序中很有可能存在大量的硬编码地址，我们需要修改这些地址，首先就得找到这些地址。要找到这些地址，在装载时再进行扫描分析是不可行的，因为我们无法区分这是一个硬编码的地址还是一个普通的数据。正确的做法是在程序编译链接时把每一个硬编码地址所在位置的偏移记录下来存放到一张表中，我们把这张表叫做基址重定位表（Base Relocation Table）。

基址重定位表

基址重定位表位于 PE 文件的数据目录表中的第六项，它指向一个 IMAGE_BASE_RELOCATION 结构体数组，如下图所示：

IMAGE_BASE_RELOCATION

每一个 IMAGE_BASE_RELOCATION 结构体都描述了一个块，这个块中包含了许多的硬编码地址所在位置的偏移。结构体的定义如下：

//
// Based relocation format.
//

typedef struct _IMAGE_BASE_RELOCATION {
    DWORD   VirtualAddress;
    DWORD   SizeOfBlock;
//  WORD    TypeOffset[1];
} IMAGE_BASE_RELOCATION;

其中 VirtualAddress 为基准地址，SizeOfBlock 为块的大小，一般情况下每一个块的基准地址都是不同的。注意到 TypeOffset[1] 是被注释掉的，它的作用是向读者指示在 VirtualAddress 以及 SizeOfBlock 后面紧接着一个 WORD 类型的数组 TypeOffset。SizeOfBlock 的大小为 VirtualAddress、SizeOfBlock 以及后面紧跟着的 TypeOffset 数组的总大小。

举个例子，下图即是某一个 IMAGE_BASE_RELOCATION 以及相应的 TypeOffset 数组的内容，基准地址为 0x1000，块大小为 0x170：

TypeOffset

TypeOffset 的类型为 WORD，即两个字节共 16 位。它由 type 以及 offset 两个字段组成，其中 type 占高 4 位，offset 占低 12 位。我们用上面的图来说明怎么获取 type 以及 offset：

TypeOffset[0] 的值为 0x3000（小端序），那么 type 值为即为 0x3000 的高四位 0x3，offset 值即为 0x3000 的低 12 位 0x000；

又如 TypeOffset[1] 的值为 0x3004（小端序），那么 type 值为即为 0x3004 的高四位 0x3，offset 值即为 0x3004 的低 12 位 0x004。

重定位地址计算

由 TypeOffset 得到的 offset 加上当前块的 VirtualAddress 得到的是硬编码地址所在位置的偏移，即：

硬编码所在位置偏移 = offset + VirtualAddress

得到这个偏移之后装载器就可以找到每一个需要重定位的硬编码地址了。然后将硬编码地址减去旧的 ImageBase，即得到硬编码地址的偏移，该偏移再加上新的 ImageBase 即可得到最终重定位之后的地址了，即：

重定位地址 = 硬编码地址 - 旧ImageBase + 新ImageBase

将得到的重定位地址覆盖原来的硬编码地址，即完成一次重定向。

重定位过程总结

1. 程序装载器将程序装载到不同于 PE 头指定的 ImageBase 的虚拟内存中时，开始进行重定位
2. 装载器检查 PE 头的基址重定位表（这是一个数组），得到第一个 IMAGE_BASE_RELOCATION 块
   
   1. 得到该块的 VirtualAddress （基准地址）以及 TypeOffset 数组，并得到第一个 TypeOffset
      
      1. 由 TypeOffset 得到 offset
      2. 由 offset + VirtualAddress 得到硬编码地址所在位置的偏移，记为 RVA1
      3. 由 RVA1 跟踪得到需要被重定位的硬编码地址（这是一个 VA，绝对地址）
      4. 硬编码地址 - 旧的 ImageBase 得到硬编码地址的偏移，记为 RVA2
      5. RVA2 + 新的 ImageBase 得到重定位之后的地址并覆盖硬编码地址
   2. 继续检查该块剩余的 TypeOffset 直到到达 SizeOfBlock 大小
3. 继续检查剩余的 IMAGE_BASE_RELOCATION 块，直到遇到全为空的块

参考资料

《逆向工程核心原理》第 16 章 基址重定位表