RVA VA ImageBase RAW offset关系

最新推荐文章于 2022-05-23 00:54:24 发布
最新推荐文章于 2022-05-23 00:54:24 发布
阅读量1.5k 收藏 1
点赞数
文章标签： 磁盘 file exe
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ccchu/article/details/7879436
版权

RVA VA ImageBase RAW offset关系

RVA:relative virtrual address

VA:virtrual address

ImageBase:基地址

RAW offset:物理地址，也就是磁盘文件上的文件偏移地址(File offset)

 

PE文件在内存中时：

虚拟地址(VA)=基地址(ImageBase)+相对虚拟地址(RVA)

PE文件在磁盘上时：

某个数据的位置相对于文件头的偏移量，称为文件偏移地址(File Offset)或物理地址（RAW offset）

文件偏移地址从PE文件第一个字节起计数，初始值为0。

 

假设一个EXE文件从地址400000H处装入，并且它的代码区块开始于401000h,代码区块的RVA将是：

目标地址401000h - 装入地址400000h=RVA 1000h

ccchu
关注
[网络安全自学篇] 六十二.PE文件逆向之PE文件解析、PE编辑工具使用和PE结构修改（三）
杨秀璋的专栏
03-25 1万+
本系列虽然叫“网络安全自学篇”，但由于系统安全、软件安全与网络安全息息相关，作者同样会分享一些系统安全案例及基础工具用法，也是记录自己的成长史，希望大家喜欢，一起进步。前文分享了数字签名，采用Signtool工具对EXE文件进行签名，接着利用Asn1View、PEVie、010Editor等工具进行数据提取和分析。本文将详细介绍PE文件格式，熟悉各种PE编辑查看工具，针对目标EXE程序新增对话框等，这也为后续PE病毒和恶意代码的攻防打下扎实基础。希望这篇基础文章对您有所帮助~
【逆向】PE结构分析和关于PE的一些问题及解决
lanlanla的成长历程
01-08 1338
目录 前言： 开始需要大概了解一些名词： 程序的装入（地址的变换） 分页机制： 大概带着这些知识后，再来看PE的结构： 一些结构的定义 关于地址计算的一些问题 经典例题： 例题分析 ☆如何在PE中查找并计算这些地址？ 计算：解决地址转换问题（使用PEView） ①计算每个节区在内存中的位置、大小： ②每个节区在文件中的偏移 ③每个节区在内存中的大小？每个节区在文件中的...
FileOffset与RVA的关系
bobopeng
06-15 1434
1.文件偏移地址 (File Offest) 数据在PE文件中的地址叫文件偏移地址,个人认为叫做文件地址更加准确.这是文件在磁盘上存放时相 对文件开头的偏移. 2.装载地址 (Image Base) PE装入内存时的基地址.默认情况下,EXE文件在内存中的基地址是0x00400000,DLL文件是0x10000000. 这些位置可以通过修改编译选项更改. 3.虚拟内存地址 
【转】RVA、VA、Offset
weixin_30698297的博客
12-26 226
对于变量A来说：File_Offset就是磁盘文件中A的位置。File_Offset=VA-ImageBase-VRk=RVA-VRkImageBase就是文件加载到内存的起始位置。ImageBase=VA-RVA多为：0x00400000,0x01000000Entr...
PE文件RVA-VA-Offset
weixin_33785108的博客
04-16 305
VA | Memory | Offset | Disk Files | | | | | 00400000 +-------------+<---------00000000 +-------------+ | DOS Header | ...
java date rawoffset_Java TimeZone getRawOffset()方法与示例
weixin_34711263的博客
03-04 871
TimeZone类getRawOffset()方法getRawOffset()方法在java.util包中可用。getRawOffset()方法用于返回添加到UTC以获得此TimeZone中的标准时间(ST)的时间(以毫秒为单位)。getRawOffset()方法是一种非静态方法，仅可通过类对象访问，如果尝试使用类名访问该方法，则会收到错误消息。getRawOffset()方法在获取以毫秒为单位的...
RVA与RWA的关系
weixin_30480583的博客
08-05 374
RVA与RWA的关系 原理比较简单：首先判断这个地址是否在PE头中，如果在，文件偏移和内存偏移相等，如果存在于文件的区段中，则利用以下公式： 内存偏移-该段起始的RVA(VirtualAddress)=文件偏移-该段的PointerToRawData 内存偏移=该段起始的RVA(VirtualAddress)+（文件偏移-该段的Point...
Windows平台PE文件，内存地址到磁盘地址的转换(RVA to RAW),补丁原理
fw72fw72的博客
11-23 1612
内存地址转换为磁盘地址 计算公式为 RAW = RVA（相对虚拟地址） - VirtualAddress（内存中节区起始地址） + PointerToRawData（磁盘文件中节区起始位置） RVA = VA（虚拟地址） - ImageBase（基址） =>RAW = VA - ImageBase - VirtualAddress + PointerToRawData
逆向整理-PE
weixin_43742794的博客
02-29 477
PE相关 PE文件格式 PE文件是windows下的32位可执行文件格式，64位称为PE+或PE32+ 文件中使用偏移（offset）内存中使用VA（Virtual Address）来表示位置，VA指的是进程虚拟内存中的绝对地址，RVA（Relative Virtual Address）指从某个基准位置（ImageBase）开始的相对地址，RVA+ImageBase=VA PE头 在PE头的最前面...
逆向——PE头及导入表应用
young的博客
03-22 1765
逆向——PE头及导入表应用 文章目录逆向——PE头及导入表应用前言一、PE可执行文件分析二、调试软件OllyDBG2.1、利用OD软件调试PE文件。2.2、怎么理解E8 08000000？2.3、F7单步步入和F8单步步过 有什么不同？2.4、修改EXE文件字节码2.5、修改是从文件偏移的什么地方开始的（FOA和VA、RVA分别的多少）？三、调试软件W32DASM3.1、该函数用到哪几个DLL，分别用到哪几个函数？四、FlexHex 或 Winhex4.1、如何初步判断一个文件是PE文件？五、利用PEdi
RvaToFileOffset 内存偏移转成文件偏移（滴水课后作业）
hambaga的博客
05-10 667
题目说明 将内存偏移RVA转成文件偏移FOA的函数; 思路是遍历节表，比较节内存偏移VirtualAddress和RVA，确定RVA所在的节之后，计算RVA距离所在节首地址的偏移offset，然后返回offset+PointerToRawData. 以xp的notepad.exe为例 .text节的文件偏移是400h,内存偏移是1000h，调用函数结果如下： printf("%x\n", RvaToFileOffset(pFileBuffer, 0x1000)); 函数源码 // 内存偏移RVA转成文
java date rawoffset_Java TimeZone setRawOffset()用法及代码示例
weixin_31067983的博客
02-25 150
Java中TimeZone类的setRawOffset(int offsetMillis)方法用于将基本时区偏移量设置为GMT。此偏移值可以是UTC以获取本地时间。用法:public abstract voidsetRawOffset(int offsetMillis)参数：该方法接受整数类型的单个参数offsetMillis，该参数指定给定的基准时区与GMT的偏移量。返回值：该方法不返回任何值。...
PE格式系列_0x02：PE头部信息（WinDbg查看）
可乐松子的博客
05-23 1575
0x02 PE头部信息（WinDbg查看） 使用像CFF、Stud_PE等专用工具可以直接查看PE文件的格式，那还有必要学习PE的格式吗？前面学习目的就是答案 单纯的看PE格式介绍没什么意思，下面结合分析notepad软件来学习PE格式 工具：调试器是WinDbg、PE查看工具是Stud_PE和PEview（任何一款PE工具都可以） 提示：WinDbg是windows下调试的神器，如果有时间的话，建议学习一个使用 1.notepad基本信息 先使用WinDbg简单了解一下C:\Windows\SysWO
PE文件中RVA和Offset的转换
Hop的专栏
02-08 2073
在个人操作PE文件中，时常会用到RVA到Offset的转换。没有更好的算法了，这里是最笨的方法，不过也只能这样了。主要思想是：判断一个RVA值在那个节中，然后用这个节的虚拟地址减去物理地址，得到偏移。然后用输入的RVA减去这个偏移就可以了，同理我们也可以使用相同的方法到物理偏移。函数实现：RVA2OffsetPIMAGE_SECTION_HEADER ImageRVA2Section(PI
PE文件：(2)VA、RVA和FileOffset的理解
weixin_43972499的博客
04-06 1607
PE文件基本概念文件对齐和内存对齐RVA和FileOffsetVA及重定向的概念 基本概念   在PE文件的学习中，我们经常看到RVA，VA，文件偏移，内存偏移这些概念，这些术语到底是什么意思呢？   PE文件主要有两种状态，分别是加载和未加载。未加载时，PE文件内的数据被局限于一个文件内，空间较为有限。而在加载到进程的地址空间之后，PE文件拥有足够的空间来存放文件中的数据，这也就导致了区段存放的空间变大，即每个区段之间的空闲内存变大，因此，区段内的很多数据的地址相对于未加载时就需要往后偏移。   在上一篇
RVA和RAW（文件偏移）的转换
跃然实验室
06-11 3311
节表和节——RVA和文件偏移的转换 RVA和文件偏移的转换的转换算法 （1）循环扫描节表并得到每个节在内存中的起始RVA（根据VirtualAddress字段），并根据节的大小（SizeOfRawData字段）算出节的结束RVA，最后比较判断目标RVA是否落在某个节之内。 （2）如果目标RVA处于某个节之内，那么用目标RVA减去节的起始RVA，这样就得到了目标RVA相对于节起始...
PE文件格式
weixin_49777720的博客
03-16 562
文章目录PE的基本概念MS-DOS头部PE文件头区块输入表输出表基地址重定位资源 PE的基本概念 PE文件将可执行程序分为不同的块，区块中包含代码和数据，各个区块按页边界对齐。区块没有大小限制，是一个连续的结构。每个块都有他自己在内存中的一套属性，例如这个块是否包含代码，是否只读或可读/写等。 基地址(ImageBase) PE文件通过Windows加载器加载入内存。 模块(Module):内存中的版本。 模块句柄(hModule):映射文件的起始地址(这个地址也可以称为是基地址ImageBase)，可以
RVA、VA、RAW、偏移量
late0001的专栏
06-09 2670
VA，虚拟地址，也就是程序被加载到内存中的地址 RVA，以虚拟地址前边加上个“相对的”，也就是说它还是按虚拟地址来换算，只不过不是从0开始，而是把一个模块的基址作为参考点。 RAW ADRRESS，或者FILE OSSFET，一般称文件偏移，你把一个文件看成一个连续的字节流，OFFSET就是这个字节流中的位置。 //文件偏移又称物理偏移，就是保存在磁盘里的文件。 换算关系为：
VA
oathevil的专栏
08-03 798
<br /> <br />对于Raw的理解,   习惯上人们喜欢叫它为 "对齐 "了的什么什么,   但是这样反而增加了理解上的难度,   其实它的意思就是文件中的地址或长度.比如: <br />SizeOfRawData           :0x200     ->   表示本节在文件中占了0x200字节 <br />PointerToRawData     :0x400     ->   表示本节在文件中的偏移量是0x400 <br /><br />对于VA和RVA,   表示一个PE文件被加载到内存
RVA和RAW有什么区别
最新发布
04-18
RVA (Relative Virtual Address) 是指相对虚拟地址，是相对于模块加载基址的偏移量；RAW (Relative Absolute Address) 是指相对绝对地址，是相对于物理内存地址的偏移量。简单来说，RVA 是相对于可执行文件的加载地址，而 RAW 是相对于物理内存地址。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值