VA转换FileOffset

最新推荐文章于 2019-05-25 16:12:08 发布
最新推荐文章于 2019-05-25 16:12:08 发布
阅读量1.1k 收藏
点赞数
分类专栏： 逆向工程 文章标签： 病毒 蠕虫
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/anystay/article/details/12084367
版权


将VA转换成FileOffset地址，先用VA-400000得到RVA,RVA-RVA所在节的起始地址[虚拟地址]（RVA所在节的起始地址通过PEID软件获得），得到偏移地址。通过PEID软件获得获得RVA所在节的起始地址[文件偏移地址]。用这个地址和前面获得的偏移地址相加即可得到最终需要的地址。用HexWorkshop对这个地址进行修改即可。

 

EXAMPLE:

  1. 401010(VA)-400000=1010(RAV)
  2. 1010-1000(.text的V偏移的起始地址)=10(RAV')
  1. 10+400(.text的文件偏移的起始地址)=410
  1. 在HEX WORKSHOP的410处和IDA的401010处发现了吻合

 

Eg ：蠕虫病毒



AnyStayIsJk
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
攻防世界debug
qq_48274326的博客
12-24 381
攻防世界debug ida不能反编译出来 PEID查壳后 显示为NET文件，所以这次我们用dnspy 参考： 指令大全 https://www.cnblogs.com/zery/p/3368460.html dnspy 使用总结 https://blog.csdn.net/yuqian123455/article/details/85038617 using System; using System.Security.Cryptography; using System.Text; // Token:
ida中如何将汇编语言转为c,[求助]如何成功的用IDA转换一小段汇编成C++
weixin_29692851的博客
05-24 5051
昨天看了一篇帖子《使用ida对任意一段机器码进行反汇编》我想用记事本写了一段C++代码，然后用winhex打开，选取所有保存为exe文件；C++代码很简单，如下：#includeusingnamespacestd;voidmain(){inta,b;intc=a+b;cout<}对winhex的操作是正确的，如下表：然后用IDA打开新生成的1.exe(不知道是不是要特殊的编译器比...
20.IDA-修改二进制文件、显示修改点
墨痕诉清风的博客
02-21 2477
Edit▶Patch Program菜单是GUI版本的IDA的一项隐藏功能，用户需要编辑idagui.cfg配置文件才能激活该菜单。这个文件的第一行是注释，第一行是最初的二进制文件的名称，随后则是文件中被修改的字节列表。每一行都指出被修改的字节的。然后，IDA会将得到的指令字节写入当前的屏幕位置。这个对话框显示了从光标所在位置开始的16个字节的值。你可以更改显示的部分或全部字节。DIF文件是一个纯文本文件，其中列出了一个IDA数据库中所有被修改的字节。用于编辑IDA数据库中的字节值。以及字节在数据库中的。
【PE学习----VA、RVA、File Offset】
jyw1111的专栏
03-29 2168
参考了《Windows_PE权威指南》这本书 VA   (Virual Address)  虚拟地址   程序被载入od中 如该图显示的就是虚拟地址VA； RVA（Relative Virual Address）相对虚拟地址，表示此段代码在内存中相对于基地址的偏移。 File Offset 文件偏移地址 ：当PE文件存储在磁盘上时，某个数据的位置相对于文件头的偏移量，称为文件地址。即C
VA、RVA、FOA
xys616的博客
05-25 3325
PE 中涉及的地址有四类，它们分别是： 虚拟内存地址（VA） 相对虚拟内存地址（RVA） 文件偏移地址（FOA） 特殊地址 要想了解这些概念，需要先简单地了解一下 32 位环境下 Windows 对内存的管理，以及分页机制的原理。 扩展阅读：32 位环境下的 Windows 内存管理 32 位 CPU 的寻址能力为 4GB（即 232 个字节），但有些用户的物理内存达不到这个值。于是操作系统...
va-file:在 C++ 中实现一个 n 维 va（向量近似）文件
06-11
VA文件结果计算的时间以微秒为单位。VA文件均匀分布询问最大限度最小平均收入性病1 115882 98666 103254 248.6 2 134572 100186 105565 448.3 3 304390 168004 280348 328.9 经验分配询问最大限度最小平均收入性病1 ...
VA2333.rar
09-06
• **New!** Added support for Visual Studio 16.1 Preview 1, the first version of Visual Studio that requires extensions ...** Added command to insert a file path into the active document (`Alt+X, T, P`)
VA番茄助手2017
04-09
VisualAssistX支持VS2017，破解可用。 Visual Assist X是一款非常好的Microsoft Visual Studio插件，支持C/C＋＋，C＃，ASP，...本平台提供了Visual Assist X(vs2017)破解版，以及破解补丁，压缩包内含破解说明 ！
VC6.0纯净版+VA助手+“添加文件”出错解决方案
10-17
网上大部分资源都是分散的，我给大家总结了一下。包括vc6.0纯净版的安装包，vc6.0的编程助手VA（VA的功能你们懂得），vc6.0工程“添加文件”出错的解决方案及其对应工具filetool.exe。
VA 破解文件存放目录
03-02
该文件是写的VA破解文件要存放的位置，用的是飘云阁做的Dll破解，亲测可用！
VA&RVA 和 RVA to RAW
bangren3304的博客
10-23 1247
VA&RVA VA指的是进程虚拟内存的绝对地址，RVA（Relative Virtual Address，相对虚拟地址）指从某个基准位置（ImageBase）开始的相对地址。VA与RVA满足下面的换算关系。 RVA + ImageBase = VA PE（Portable Executable）头部信息大多以RVA形式存在。原因在于，PE文件（主要是DLL（DLL，Dynami...
内存偏移(RVA)与文件偏移(offset)相互转换
SauceJ的专栏
09-19 3809
写此文源于前一阵写一个PE修改工具，需要用到内存偏移向文件偏移转化。
VA与文件地址的换算公式
白水的博客
11-12 4561
文件偏移地址=虚拟内存地址(VA)-装载基址(Image Base)-节偏移=RVA-节偏移 FileOffset = VA - ImageBase - (VOffset - ROffset) 文件虚拟偏移地址和文件物理偏移地址的计算公式如下： ①VaToFileOffset(虚拟地址转文件偏移地址) 如VA = 00401000 (虚拟地址) ImageBase = 0040000...
PE总结17--PE中的名词解释RVA,VA,File Offset
oBuYiSeng的博客
12-28 3013
RVA: (RelativeVirtual Address 简称RVA),RVA只是内存中的一个简单的相对于PE文件装入地址的偏移位置，或称为偏移量。 公式: 目标地址( 401000h) ---装入地址(Imagebase)400000h=RVA 1000h     VA:在PE用语里，实际的内存地址被称作虚拟地址(Virtual Address )简称VA。即OD里面能
MMU段式映射（VA -> PA）过程分析
楷尘·极客
11-26 3386
MMU：内存管理单元。 CPU寻址的方式： 未使用MMU：CPU发出地址(PA) 直接内存寻址(SDRAM or DDRx)。 使用MMU  ：CPU发出地址(VA) MMU接收CPU发来的地址 经过某种转换 变成实际的物理地址去寻址。 那么是MMU是如何实现VA到PA的转化的呢？      建立VA与PA的对应关系： MMU有段描述符（1M）(还有页描述符大页(64KB)小页(4K
RVA与Offset的换算函数
weixin_34195546的博客
09-06 172
function RVAToFileOffset(FileName:string; RVA: Cardinal): Cardinal; var   MemPE: TFileStream;   PEDosHead: TImageDosHeader;   PENtHead: TImageNtHeaders;   Section : TImageSectionHeader;   i, Sec...
PE文件
##
11-19 703
PE文件格式是可执行文件的数据格式（.dll、.exe） .text：由编译器产生，存放二进制的机器指令，是反汇编和调试的主要对象 .data：初始化的数据块，如宏定义，全局变量等 .idata：使用DLL等外来函数与文件的信息，即输入表 .rsrc：存放程序的全部资源，如图标、菜单、位图等 虚拟内存物理内存：进入windows内核级别ring0才能看到 虚拟内存：调试器中看到的内存地
va_list va_start
最新发布
08-21
引用:  va_end() 对由 va_start() 或者 va_copy() 初始化的 va_list 类型对象的执行清理过程。va_end() 会修改 va_list 对象实例，使其不再可用。 如果没有相对应的对 va_start() 或者 va_copy() 函数的调用，或者...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值