RAW与RVA

前言

本文描述节区RAW与RVA之间的的转换

RAW：文件偏移
RVA：相对虚拟地址（是指相对与ImageBase的偏移）

节区数据结构

typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize;
  } Misc;
  DWORD VirtualAddress;
  DWORD SizeOfRawData;
  DWORD PointerToRawData;
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

相关成员介绍

member	description
VirtualSize	节区加载到内存中节区所占内存大小
VirtualAddress	节区在内存的相对虚拟地址，为RVA
SizeOfRawData	节区占磁盘的大小
PointerToRawData	节区在文件中的偏移

VirtualSize可能大于PointerToRawData，PointerToRawData也可能大于VirtualSize

VirtualSize按照SectionAlignment对齐，SizeOfRawData按照FileAlignment对齐。节对齐是按照内存分页大小对齐，Win32下最小4K，文件对齐按照文件系统的最小存储单位对齐，一个扇区最小512K。

计算公式

RVA = VA - ImageBase
RAW = RVA - VirtualAddress + PointerToRawData

举例

             PE在磁盘时              PE在内存时
             |  ......  |          |  ......  |   
-->0x00000400+----------+          +----------+0x01001000<--
             |7800 .text|          |7800 .text| 
-->0x00007c00+----------+          +----------+0x01009000<--
             |800  .data|          |800  .data|
-->0x00008400+----------+          +----------+0x0100B000<--
             |  ......  |          |  ......  | 

ImageBase为0x01000000

假如知道内存地址0x01005000（进程运行在虚拟地址空间，多以这个地址是虚拟地址VA）

RVA = VA - ImageBase = 0x01005000 - 0x01000000 = 0x5000

需要RVA的值在哪个节区，然后计算出RAW，可以通过下面伪代码找到RVA所在的节区：

DWORD RvaToRaw(WORD rva, IMAGE_SECTION_HEADER *pSectionHeaders, DWORD NumberOfSection)
{
	int i;
	IMAGE_SECTION_HEADER *pSec = pSectionHeaders;
	for (i = 0; i < NumberOfSection; i++)
	{
		if (rva >= pSec->VirtualAddress && rva <= pSec->VirtualAddress + pSec->Misc.VirtualSize)
		{
			return (rva - pSec->VirtualAddress + PointerToRawData);
		}
		pSec++;
	}
	return -1;
}

RAW = RVA - VirtualAddress + PointerToRawData = 0x5000 - 0x1000 + 0x400 = 0x4400
可以找到RAW对应的是.text段

如果VirtualSize > SizeOfRawData，存在SizeOfRawData < RVA - VirtualAddress < VirtualSize这种情况，通过RAW = RVA - VirtualAddress + PointerToRawData这个公式会找不到正确的RAW，通过该公式计算到的RAW范围是：PointerToRawData到PointerToRawData +VirtualSize

而文件中节区的RAW范围是：PointerToRawData到PointerToRawData+ SizeOfRawData

如RVA为0xABA8，该RVA对应内存中的.data段，RWA = 0XABA8 - 0x9000 + 0x7C00 = 0x97A8，通过计算的到的RAW = 0x97A8并不落在PE文件的.data段。