进程4GB空间简析，PE重定位表【滴水逆向三期50笔记+作业】

最新推荐文章于 2023-07-12 15:52:44 发布
最新推荐文章于 2023-07-12 15:52:44 发布
阅读量451 收藏 1
点赞数 1
分类专栏： PE文件结构学习 文章标签： c语言 算法 安全 数据挖掘
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_73985089/article/details/129723859
版权

这一章我们继续来了解数据目录，我们来了解数据目录的第6个结构：重定位表。

文章目录

一.进程4GB空间

在了解重定位表之前，我们先来了解进程4GB空间，这有助于我们理解为什么PE中需要重定位表。
当我们双击一个exe程序时，操作系统会为它分配虚拟的4GB空间（注意这里是虚拟的4GB空间，不同于物理4GB空间，如果是真实的4GB空间的话，我们的机器运行不了几个程序就会挂掉）。
那么操作系统是如何分配这4GB的空间的呢？我们来简单解析一下：
首先我们给出一张图，帮助我们理解：
进程4GB空间
1.低2G为用户空间，前后64K不会被分配，0-FFFF用于做各种无效检查（空指针就指向这里）
2.后64K ：7FFF0000 - 8000000 用来做内核的交互。在这一部分，会加载exe和dll，通常情况下，exe会调用dll文件，而dll文件会调用其他的dll文件。
因为打开的是该exe进程，则这块空间最先由 exe 占第一块空间。所以一般情况下，exe都是可以按照 ImageBase 的地址进行加载的，因为exe有自己独立的4GB虚拟空间。而 ImageBase 通常是 400000H。但dll不是 dll是有exe或其他 dll使用它，它才加载到相关EXE的进程空间的。
3.高2G空间是内核使用的。
4.为了提高搜索速度，模块之间也是要对齐的，模块地址对齐为1000h，也就是64k。

二.为什么要有重定位表

我们打开一个exe程序，观察它的反汇编：
反汇编
这里我们查看的时printf函数的地址，通过前面章节的学习，我们知道E8是call的硬编码，E8后面跟着的四字节数据就是函数地址，我们会发现：这个函数地址是直接被编译器写入文件的，那么我们来做一个假设：dll每次被加载的基址不同，如果程序继续通过这个地址去找函数的话，那不是就出错了吗？
这时候重定位表的作用就体现出来了：重定位表记录下文件中需要改变的地址的位置，程序在运行的时候，通过重定位表修改函数地址和其他需要修改的值，以保证程序正常运行。
也就是说，如果程序每次都按照ImageBase来加载的话，那么就不需要改变函数地址，也就不需要重定位表了，这个是为什么exe中很少有重定位表（因为exe有自己独立的4GB空间，exe在每次加载的时候通常可以按照预定的IamgeBase来加载）的原因。
如果某个模块没有按照预定的ImageBase加载，那么像函数地址这些都需要修改，而重定位表记录这些需要修改的数据。

三.重定位表

1.如何定位重定位表：

前一章我们已经提及数据目录，数据目录的第6个结构，就记录了重定位表的地址。

2.重定位表的结构：

我们来看看重定位表的结构：

typedef struct _IMAGE_BASE_RELOCATION{
DWORD VirtualAddress;//重定位内存页的起始RVA
DWORD SizeOfBlock;//重定位块的大小
} IMAGE_BASE_RELOCATION;
typedef IMAGE_BASE_RELOCATION UNALIGNED *PIMAGE_BASE_RELOCATION;

需要注意的是，如果要在FileBufer中找到重定位表，需要将数据目录第6个结构中的VirtualAddress转换为FOA。
在重定位内存页中，有若干个上述IMAGE_BASE_RELCOATION结构，而在每个结构后，有一大块数据，就记录了需要修改的地址，被称为具体项。
我们给出图示来帮助我们了解：
重定位表内存页
解释说明：
1.通过IMAGE_DATA_DIRECTORY结构的第6个结构的VirtualAddress属性，找到第一个IMAGE_BASE_RELOCATION；
2.最后一个块：最后一块的VirtualAddress和SizeOfBlock的值都为0
3.具体项：
内存页中的大小为1000h，也就是说，用2的12次方就可以表示一个内存页中所有的地址偏移
具体项的宽度为16位，用低12位表示需要修改的数据的地址，高3位代表类型，高三位总是为011或000，011表示该项需要修改，000表示该项不需要修改，我们只需要关注高三位为011的就可以了
4.VirtualAddress：宽度为4字节
具体项中的地址为偏移，加上VirtualAddress才是真正要修改的地址
5.SizeOfBlock：当前块的总大小具体项的数量=（SizeOfBlock的值-8）/2

四.作业

根据以上对重定位表的介绍，我们可以打印出重定位表的信息（不需要打印具体项，但是要打印出具体项的数量）
这里给出程序源码：
main.c

#include <stdio.h>
#include <windows.h>
#include "PEFunction.h"
int main(int argc, char** argv) {
	char filename[50];
	char* FileBuffer=NULL;
	printf("*******************************打印PE重定位表程序*******************************\n");
	printf("---------------------------版权所有：https://blog.csdn.net/qq_73985089?type=blog\n");
	printf("----------------------------------------------------------如需引用，请告知原作者！"); 
	printf("请输入您需要按操作的文件路径：");
	scanf("%s",filename);
	FileBuffer=ReadToFileBuffer(filename);
	ShowBaseRelocation(FileBuffer);
	free(FileBuffer);
	return 0;
}

PEFunction.h

/********1.打开文件函数(将文件二进制读取到FileBuffer) *******/
/*函数说明：
该函数需要一个char类型的指针，指向想要打开的文件路径
该函数返回一个char类型的指针，指向FileBuffer
该函数完成文件的打开，并且将文件的二进制读取到FIleBuffer
该函数读取完成后会将文件关闭，避免出现误操作
该函数会通过移动文件指针获取文件大小
获取的文件大小用于动态申请内存 
该函数会动态申请内存，用于存放FileBuffer
*/ 
char* ReadToFileBuffer(char* filename);
/**********************2.获取PE导出表数据函数********************
该函数需要一个指针，指向FileBuffer
该函数在找到导出表之前，需要定义DOS结构指针，标准PE头结构指针和可选PE头指针，以方便找到导出表
该函数会在控制台输出函数地址表，函数名称表和函数导出序号表 */
void ShowExportDirectory(char* FileBuffer);
/***********************3.RVA转换为FOA函数*************************
该函数需要一个指针，指向FileBuffer
该函数需要一个整数，为要转换的RVA
该函数返回一个整数，为转换后的FOA地址*/ 
int RVAToFOA(IN LPVOID pFileBuffer, IN DWORD dwRva);
/***********************4.根据函数名称查找函数地址函数***********************
该函数需要一个指针，指向要打开的文件路径 
该函数返回一个整数，指向得到的函数地址
*/
void GetAddressOfFunctionByName(char* filename);
/***********************5.根据函数序号查找函数地址函数***********************
该函数需要一个指针，指向要打开的文件路径 
该函数返回一个整数，指向得到的函数地址
*/
void GetAddressOfFunctionByOrdinal(char* filename);
/***********************6.打印PE重定位表函数***********************
该函数需要一个指针，指向FIleBuffer
该函数会在控制台打印出重定位表信息（重定位表偏移，重定位表大小，但不打印重定位表具体项*/
void ShowBaseRelocation(char* FileBuffer);

Function.c

/**************************************************************/ 
//*********************自编PE函数库****************************/
#include <stdio.h>
#include <windows.h>


/********1.打开文件函数(将文件二进制读取到FileBuffer) *******/
/*函数说明：
该函数需要一个char类型的指针，指向想要打开的文件路径
该函数返回一个char类型的指针，指向FileBuffer
该函数完成文件的打开，并且将文件的二进制读取到FIleBuffer
该函数读取完成后会将文件关闭，避免出现误操作
该函数会通过移动文件指针获取文件大小
获取的文件大小用于动态申请内存 
该函数会动态申请内存，用于存放FileBuffer
*/ 
char* ReadToFileBuffer(char* filename){
	FILE* fp;
	char* FileBuffer=NULL;
	int length;
	if((fp=fopen(filename,"rb"))==NULL){
		printf("%s打开失败！",filename);
		exit(0);
	}else{
		printf("文件打开成功，正在计算文件大小...\n");
	}
	fseek(fp,0,SEEK_END);
	length=ftell(fp);
	fseek(fp,0,SEEK_SET);
	printf("文件大小：%d字节\n正在申请FileBuffer内存...\n",length);
	FileBuffer=(char*)malloc(length);
	if(FileBuffer!=NULL){
		printf("FileBuffer内存申请成功。准备向FileBuffer写入数据...\n");
	}
	if((fread(FileBuffer,length,1,fp))==0){
		printf("写入数据失败！\n");
		exit(0);
	}else{
		printf("写入数据成功。\n");
	}
	if(fclose(fp)){
		printf("文件关闭失败！\n");
		exit(0);
	}else{
		printf("文件关闭成功。\n");
	}
	return FileBuffer;
}
/**********************2.获取PE导出表数据函数********************
该函数需要一个指针，指向FileBuffer
该函数在找到导出表之前，需要定义DOS结构指针，标准PE头结构指针和可选PE头指针，以方便找到导出表
该函数会在控制台输出函数地址表，函数名称表和函数导出序号表 */
void ShowExportDirectory(char* FileBuffer){
	IMAGE_DOS_HEADER* pDosHeader=NULL;
	IMAGE_FILE_HEADER* pFileHeader=NULL;
	IMAGE_OPTIONAL_HEADER32* pOptionalHeader=NULL;
	IMAGE_EXPORT_DIRECTORY* pExportDirectory=NULL;
	pDosHeader=(IMAGE_DOS_HEADER*)FileBuffer;
	if(*((PDWORD)((DWORD)FileBuffer + pDosHeader->e_lfanew))!= IMAGE_NT_SIGNATURE){
		printf("不是有效的PE标志！\n");
	}else{
		printf("检测到有效的PE标志。\n");
	}
	pFileHeader=(IMAGE_FILE_HEADER*)(FileBuffer+pDosHeader->e_lfanew+4);
	pOptionalHeader=(IMAGE_OPTIONAL_HEADER32*)((DWORD)pFileHeader+20);
	pExportDirectory = (IMAGE_EXPORT_DIRECTORY*)(FileBuffer+RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
	printf("导出表RVA:%x\n",pOptionalHeader->DataDirectory[0].VirtualAddress);
	printf("导出表大小:%x字节\n",pOptionalHeader->DataDirectory[0].Size);
	printf("导出表FOA：%d\n",RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
	printf("*******************************导出表*********************************\n");
	printf("TimeDataStamp(经加密):%d\n",pExportDirectory->TimeDateStamp);
	printf("Name(导出表文件名字符串):%s\n",FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->Name));
	printf("Base(函数起始序号)：%d\n",pExportDirectory->Base);
	printf("NumberOfFunction(导出函数总数):%d\n",pExportDirectory->NumberOfFunctions);
	printf("NumberOfNames(以名称导出函数的总数)：%d\n",pExportDirectory->NumberOfNames);
	printf("*****************************函数地址表********************************\n");
	int i=0;
	char* AddressOfFunction;
	AddressOfFunction=(char*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfFunctions));
	for(i=0;i<pExportDirectory->NumberOfFunctions;i++){
		printf("下标：%d     函数地址：0x%x\n",i,*(PWORD)((DWORD)AddressOfFunction+i*4));
	}
	printf("*****************************函数名称表********************************\n");
	int* AddressOfNames=NULL;
	char* name=NULL;
	AddressOfNames=(int*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNames));
	for(i=0;i<pExportDirectory->NumberOfNames;i++){
		name=(char*)(FileBuffer+RVAToFOA(FileBuffer,*AddressOfNames));
		printf("下标：%d     函数名称：%s\n",i,name);
		AddressOfNames++;
	}
	printf("*******************************函数序号表*******************************\n");
	char *AddressOfNameOrdinals=NULL;
	char *Ordinal=NULL;
	AddressOfNameOrdinals=(int*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNameOrdinals));
	for(i=0;i<pExportDirectory->NumberOfNames;i++){
		Ordinal=(int*)(FileBuffer+RVAToFOA(FileBuffer,*AddressOfNameOrdinals));
		printf("下标：%d      函数序号(加Base)：%d\n",i,*(AddressOfNameOrdinals+i*2)+pExportDirectory->Base);
	} 
}
/***********************3.RVA转换为FOA函数*************************
该函数需要一个指针，指向FileBuffer
该函数需要一个整数，为要转换的RVA
该函数返回一个整数，为转换后的FOA地址*/ 
int RVAToFOA(IN LPVOID pFileBuffer, IN DWORD dwRva)
{
	PIMAGE_DOS_HEADER pDosHeader = NULL;
	PIMAGE_FILE_HEADER pFileHeader = NULL;
	PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = NULL;
	PIMAGE_SECTION_HEADER pSectionHeader = NULL;
	PIMAGE_SECTION_HEADER pNextSectionHeader = NULL;
	//DOS头
	pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;	// 强转 DOS_HEADER 结构体指针
	//PE头
	pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pFileBuffer + pDosHeader->e_lfanew + 4);	//NT头地址 + 4 为 FileHeader 首址
	//可选PE头	
	pOptionalHeader = (PIMAGE_OPTIONAL_HEADER32)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);//SIZEOF_FILE_HEADER为固定值且不存在于PE文件字段中
	if (dwRva < pOptionalHeader->SizeOfHeaders)	//偏移小于头的大小，内存偏移则为文件偏移
	{
		return dwRva;
	}
    //首个节表
	pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);
	//下一个节表
	pNextSectionHeader = pSectionHeader + 1;
	//循环遍历节表
	int i;
	for (i = 1; i < pFileHeader->NumberOfSections; i++, pSectionHeader++, pNextSectionHeader++)//注意这里i从1开始 i < NumberOfSections
	{	//注意这里的pSectionHeader已经是加了基址的，不是偏移， 是绝对地址。而dwRva是偏移地址
		if (dwRva >= pSectionHeader->VirtualAddress && dwRva < pNextSectionHeader->VirtualAddress)//大于当前节的内存偏移而小于下一节的内存偏移
		{	//则dwRva属于当前节，则dwRva - VirtualAddress为dwRva基于当前节的偏移。此偏移加上当前节的文件起始偏移地址 则为dwRva在文件中的偏移
			DWORD PointerToRawData = pSectionHeader->PointerToRawData;
			DWORD VirtualAddress = pSectionHeader->VirtualAddress;
			DWORD aa = pSectionHeader->PointerToRawData + dwRva - pSectionHeader->VirtualAddress;
			return pSectionHeader->PointerToRawData + dwRva - pSectionHeader->VirtualAddress ;
		}
	}	//出循环后pSectionHeader指向最后一个节表
	//大于当前节（最后一节）的内存偏移且小于内存映射大小
	if (dwRva >= pSectionHeader->VirtualAddress && dwRva < pOptionalHeader->SizeOfImage)
	{	//同上return
		return pSectionHeader->PointerToRawData + dwRva - pSectionHeader->VirtualAddress;
	}
	else //大于内存映射大小
	{
		printf("dwRva大于内存映射大小\n");
		return -1;
	}
}
/***********************4.根据函数名称查找函数地址函数***********************
该函数需要一个指针，指向要打开的文件路径 
该函数返回一个整数，指向得到的函数地址
*/
void GetAddressOfFunctionByName(char* filename){
	char* FileBuffer=NULL;
	char inname[5];
	int i;
	FileBuffer=ReadToFileBuffer(filename);
	IMAGE_DOS_HEADER* pDosHeader=NULL;
	IMAGE_FILE_HEADER* pFileHeader=NULL;
	IMAGE_OPTIONAL_HEADER32* pOptionalHeader=NULL;
	IMAGE_EXPORT_DIRECTORY* pExportDirectory=NULL;
	pDosHeader=(IMAGE_DOS_HEADER*)FileBuffer;
	if(*(PWORD)((DWORD)FileBuffer+pDosHeader->e_lfanew)==IMAGE_NT_SIGNATURE){
		printf("检测到有效的PE标志。\n");
	}else{
		printf("未检测到有效的PE标志！\n");
		exit(0);
	}
	pFileHeader=(IMAGE_FILE_HEADER*)((DWORD)FileBuffer+pDosHeader->e_lfanew+4);
	pOptionalHeader=(IMAGE_OPTIONAL_HEADER32*)((DWORD)pFileHeader+20);
	pExportDirectory = (IMAGE_EXPORT_DIRECTORY*)(FileBuffer+RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
	int* AddressOfNames=NULL;
	char* name=NULL;
	AddressOfNames=(int*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNames));
	
	printf("请输入您需要查找的函数名：");
	scanf("%s",inname);
	printf("正在查找中...\n");
	for(i=0;i<pExportDirectory->NumberOfNames;i++){
	name=(int*)(FileBuffer+RVAToFOA(FileBuffer,RVAToFOA(FileBuffer,*AddressOfNames)));
		if(!(strcmp("Plus",name))){
			printf("下标为%d的函数名符合。\n",i);
			break;
		}
		AddressOfNames++;
	}
	char* Ordinal=NULL;
	Ordinal=(char*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNameOrdinals)+i*2);
	char* AddressOfFunction=NULL;
	AddressOfFunction=(char*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfFunctions)+*Ordinal*4);
	printf("Ordinal(函数导出序号(未加Base)):%d    AddressOfFunction:0x%x",*Ordinal,*(PWORD)((DWORD)AddressOfFunction));
}
/***********************5.根据函数序号查找函数地址函数***********************
该函数需要一个指针，指向要打开的文件路径 
该函数返回一个整数，指向得到的函数地址
*/
void GetAddressOfFunctionByOrdinal(char* filename){
	char* FileBuffer=NULL;
	int InOrdinal=0;
	IMAGE_DOS_HEADER* pDosHeader=NULL;
	IMAGE_FILE_HEADER* pFileHeader=NULL;
	IMAGE_OPTIONAL_HEADER32* pOptionalHeader=NULL;
	IMAGE_EXPORT_DIRECTORY* pExportDirectory=NULL;
	FileBuffer=ReadToFileBuffer(filename);
	char* AddressOfFunction;
	pDosHeader=(IMAGE_DOS_HEADER*)FileBuffer;
	if(*(PWORD)((DWORD)FileBuffer+pDosHeader->e_lfanew)==IMAGE_NT_SIGNATURE){
		printf("检测到PE标志。");
	}else{
		printf("未检测到PE标志！\n");
		exit(0);
	}
	pFileHeader=(IMAGE_FILE_HEADER*)(FileBuffer+pDosHeader->e_lfanew+4);
	pOptionalHeader=(IMAGE_OPTIONAL_HEADER32*)((DWORD)pFileHeader+20);
	
	pExportDirectory = (IMAGE_EXPORT_DIRECTORY*)(FileBuffer+RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
	printf("请输入您需要查找的函数导出序号：");
	scanf("%d",&InOrdinal);
	InOrdinal=InOrdinal-pExportDirectory->Base;
	AddressOfFunction=(char*)FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfFunctions+InOrdinal*4);
	printf("函数导出序号(未加Base):%d       函数地址：0x%x",InOrdinal,*(PWORD)((DWORD)AddressOfFunction));
}
/***********************6.打印PE重定位表函数***********************
该函数需要一个指针，指向FIleBuffer
该函数会在控制台打印出重定位表信息（重定位表偏移，重定位表大小，但不打印重定位表具体项*/
void ShowBaseRelocation(char* FileBuffer){
	int i=1;
	IMAGE_DOS_HEADER* pDosHeader=NULL;
	IMAGE_OPTIONAL_HEADER32* pOptionalHeader=NULL;
	IMAGE_BASE_RELOCATION* pBaseRelocation=NULL;
	pDosHeader=(IMAGE_DOS_HEADER*)FileBuffer;
	if(*(PWORD)((DWORD)FileBuffer+pDosHeader->e_lfanew)==IMAGE_NT_SIGNATURE){
		printf("检测到有效的PE标志。\n");
	}else{
		printf("未检测到有效的PE标志！\n");
		exit(0);
	}
	pOptionalHeader=(IMAGE_OPTIONAL_HEADER32*)((DWORD)FileBuffer+pDosHeader->e_lfanew+24);
	pBaseRelocation=(IMAGE_BASE_RELOCATION*)((DWORD)FileBuffer+RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[5].VirtualAddress));
	printf("%x",pOptionalHeader->DataDirectory[5].VirtualAddress);
	while(pBaseRelocation->VirtualAddress&&pBaseRelocation->SizeOfBlock){
		printf("************                 第%d块                 ************\n",i);
		printf("VirtulaAddress(重定位表在文件中的偏移):0x%x\n",RVAToFOA(FileBuffer,pBaseRelocation->VirtualAddress));
		printf("Size(该块重定位表的大小)：%d字节\n",pBaseRelocation->SizeOfBlock);
		printf("重定位表具体项数目：%d\n\n",(pBaseRelocation->SizeOfBlock-8)/2);
		pBaseRelocation = (IMAGE_BASE_RELOCATION*)(pBaseRelocation->SizeOfBlock + (DWORD)pBaseRelocation);
		i++;
	}
}
Shad0w-2023
关注
专栏目录
Linux C/C++ or 嵌入式面试之《多进程多线程编程系列》(13) 请你描述下进程虚拟内存空间布局
二进制君
08-16 2153
对于这个问题，面试官可能拿出一张白纸，让你尝试画出linux下进程的虚拟内存空间布局，然后=再让你简述下每个分区的作用，可能会挑几个重点分区，例如堆区、栈区来进行深入展开，考察你对堆栈的理解等等。 文章目录1 内核空间2 栈(stack)3 内存映射段(mmap)4 堆(heap)5 BSS段6 数据段(Data)7 代码段(text)8 保留区问题提问 在多任务操作系统中，每个进程都运行在属于自己的内存沙盘中。这个沙盘就是虚拟地址空间(Virtual Address Space)，在32位模式下它是一个4
进程虚拟地址为什么是4G大小？
程序员黄老师的精品课！
10-16 7319
1、创建一个进程时，操作系统会为该进程分配一个 4GB 大小的虚拟 进程地址空间。 之所以是 4GB ，是因为在 32 位的操作系统中，一个指针长度是 4 字节  （32位）， 2的32次 方个地址寻址能力是从 0x00000000~0xFFFFFFFF 即为 4GB 大小的容量。     4G 指的是最大的寻址空间为4G 一个进程用到的虚拟地址是由内存区域表来管理的，实际用不了4G。而用...
滴水逆向三期课件(全)
11-20
滴水逆向初级班三期课件,全套包括 EXE 练手文件 配套电子书 推荐下载绝对不亏!!
滴水三期：day37.1-重定位表
Edimade的博客
04-11 701
一、引入重定位表（1.程序加载过程 > 2.问题一：DLL装载地址冲突 > 3.问题二：全局变量的绝对地址 > 4.引入）二、重定位表结构（1.找重定位表 > 2.重定位表结构 > 3.页、块、节的关系）三、为什么学重定位表（1.破解方面 > 2.反反调试）四、作业（1.重定位表这样设计的好处 > 2.编写C程序打印重定位表信息）
滴水逆向3期作业——新增一个节
king_ink的博客
06-23 1095
// testt.cpp : Defines the entry point for the console application. // #define _CRT_SECURE_NO_WARNINGS #include "stdafx.h" #include <malloc.h> #include <windows.h> #include <string.h> int Read2file(char* file_path,PVOID* FileBuffer); DWO
滴水逆向 课后作业（2）
lhk124的博客
07-12 752
1.调试器打开一个exe，并找到寄存器窗口 2.打开一个exe，单步执行程序（F8） 3.记住8个通用寄存器名称，按照顺序 4.使用mov指令修改八个寄存器的值，单步执行，观察修改后的结果。 仅做第3题 AX-累加器（Accumulator） BX-基址寄存器（Base Register） CX-计数寄存器（Count Register） DX-数据寄存器（Data Register） BP-基址指针寄存器（Base Pointer） SP-堆栈指针寄存器（Stack Pointe.
滴水三期逆向基础系列(五)-解析重定位表
henuyl的博客
04-28 416
很简单，直接贴代码吧 主要要注意RVA转FOA！！！ VOID ReturnAllRelocation( IN LPVOID pFileBuffer ){ if(pFileBuffer == NULL){ return; } PIMAGE_DOS_HEADER idh = NULL; PIMAGE_NT_HEADERS64 inh = NULL; PIMAGE_OPTI...
为DS40MB200双通道4Gb/s多路复用器/缓冲器设定预加重电平
11-08
　DS40MB200是为支持冗余心脏将铀线背板信号速率扩展到4Gb/s而专门设计的一款双通道2:1多路复用器和1:2扇 出中继器。DS40MB200的输入均衡和输出预加重使其能够补偿衰减失真和降低由于带宽受限传输线所造成的确定性...
21春南开大学《逆向工程》在线作业参考答案.docx
10-23
* PE 文件在定位输出表、输入表和资源等重要数据时，就是从 IMAGE_NT_HEADERS 结构开始的。 * 基址重定位数据采用类似按页分割的方法组织，是由许多重定位块串接成的，每个块中存放 4KB 的重定位信息。 IDA 相关...
【逆向】PE结构分析和关于PE的一些问题及解决
lanlanla的成长历程
01-08 1386
目录 前言： 开始需要大概了解一些名词： 程序的装入（地址的变换） 分页机制： 大概带着这些知识后，再来看PE的结构： 一些结构的定义 关于地址计算的一些问题 经典例题： 例题分析 ☆如何在PE中查找并计算这些地址？ 计算：解决地址转换问题（使用PEView） ①计算每个节区在内存中的位置、大小： ②每个节区在文件中的偏移 ③每个节区在内存中的大小？每个节区在文件中的...
滴水逆向第三期课件（全）
06-02
滴水逆向课程课件，完整版！ 滴水逆向课程课件，完整版！
滴水逆向三期课件（全套）
03-25
滴水全套课件配合视频讲解，高效学习，下载就不亏！！
滴水逆向三期 基础班 课件全部
01-14
滴水逆向三期 基础班 课件全部
滴水逆向三期课件.zip
07-09
滴水逆向三期全部课件(海东老师讲),全套包括 EXE 练手文件 配套电子书,源码 滴水逆向三期全部课件(海东老师讲),全套包括 EXE 练手文件 配套电子书,源码
滴水三期视频+课件+笔记
07-13
滴水三期视频+课件，想要的都有了，别错过 滴水三期视频+课件，想要的都有了，别错过 滴水三期视频+课件，想要的都有了，别错过
滴水逆向三期笔记与作业——02C语言——01基础函数汇编
weixin_43657383的博客
04-26 641
滴水逆向三期，第二篇幅，C语言第一节课。
滴水逆向三期笔记与作业——02C语言——03 数据类型_IF语句
weixin_43657383的博客
05-11 647
滴水逆向三期笔记与作业——02C语言——03数据类型
滴水逆向三期笔记与作业——02C语言——04 IF语句逆向分析下
最新发布
weixin_43657383的博客
07-12 1187
滴水逆向三期笔记与作业——02C语言——04 IF语句逆向分析下。
滴水逆向三期笔记与作业——02C语言——02数据类型
weixin_43657383的博客
05-04 990
滴水逆向三期笔记与作业——02C语言——02数据类型
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Shad0w-2023

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值