PE文件简介

PE（Portable Execute）文件是WIN32下可执行文件遵循的数据格式，也是反汇编调试必不可少的文件，常见的pe文件有.exe和.dll文件。本文主要介绍pe文件的结构和虚拟内存地址转换到文件地址的方法。

pe文件的基本结构

基本的pe文件主要包括以下部分：如下图

• .text节：由编译器产生，村反击本的二进制机器码，我们调试很烦会变得而主要对象。
• .data节：数据块，宏定义，全局变量，静态变量等。
• .idata节：可执行文件使用的动态链接库和外来函数信息与文件信息等。
• .rsrc节：承训的资源，图标，菜单等

几个重要概念

上面简单介绍了pe的基本结构，现在结合下图，介绍几个存储地址的基本概念，为后面的地址转换做准备。

• 文件偏移地址：主要指的是文件中内容相对于文件开头的偏移量（a-0）。因此文件地址从开头的0开始依次增加。
• 装载地址（image base）：主要指的是程序运行时候装载在内存中时候，非配给该文件的首要内存地址（400000），也就是装载地址位置存放的是文件地址为0处的文件。
• 虚拟内存地址（virtual address，VA）：文件被装入内存后的内存地址（b）。
• 相对虚拟地址（relative virtual address，RVA）：文件被装入到内存后的地址与装载基址的距离（b-400000），即相对于装载基址的偏移量（内存地址VA-装载基址IMAGE BASE）。

注意：文件偏移地址≠相对虚拟地址，主要原因是：文件偏移地址是相对于在磁盘存放时候的偏移量，而磁盘以0×200（0.5k）为单位，每个节占用的大小为0×200的倍数（多拆少补0×00），而相对虚拟地址是相对于内存的偏移量，而内存以0×1000（1K）为单位，每个节占用的大小为0×1000的倍数（多拆少补0×00）。由此产生每个节的差量称为为节偏移（.text节的节偏移为（d-4000）-（c-0），即为填充部分），映射方式如下图：

文件偏移地址与虚拟内存地址的转换

因此现在我们可以通过IDA得到虚拟内存地址（VA）为b，通过LordPE可以得出节偏移（d-c），然后即可得出a的地址为（a=b-400000-[(d-400000)-(c-0)]），总结成公式即为：

文件偏移地址=VA-Image Base-节偏移

本文出自个人博客：PE文件简介

以上内容基于阅读《0day安全：软件漏洞分析》后个人理解