PE结构->【基址重定位】

最新推荐文章于 2024-06-08 14:37:27 发布
最新推荐文章于 2024-06-08 14:37:27 发布
阅读量1k 收藏 1
点赞数
分类专栏： PE资料 文章标签： PE结构
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u011513939/article/details/73603428
版权
本文详细解析了Windows程序中基址重定位的概念，包括为什么需要重定位、哪些指令需要重定位以及重定位所需的信息。通过实例分析了重定位表中的内容和结构，帮助读者理解这一关键的PE格式特性。
摘要由CSDN通过智能技术生成

在这里再次强调一下，只要是windows操作程序，其就要遵循PE格式，再说人家看雪的网址就是www.pediy.com。

这一节对于讲来研究病毒原理的研究影响比较大，大家务必要深入理解~

但是吧，咱的权威教材看雪的《加密与解密》在这一节的讲解上实在不给力，很多初学者看得云里雾里的。大家意见一致啵 ?!

问题一：什么是基址重定位?

答：
重定位就是你本来这个程序理论上要占据这个地址，但是由于某种原因，这个地址现在不能让你霸占，你必须转移到别的地址，这就需要基址重定位。
打个比方：例如你现在计划在某某地方建一栋楼，但是有一天你收到上边的通知，这个地方政府临时要征用建公厕，所以这时候你就没辙，得去别的地方建啦~

问题二：为什么需要基址重定位?

答：
其实这个问题看起来跟前边的有点重复不是?
但是有些朋友可能会这么说，你的言论是可以，但是放在程序中，你上节课不是还说每个程序都让Windows 欺骗了吗 —— 每个程序觉得自己都完全占有 4GB的内存空间，何来地址被别的程序占据了呢?!

首先，能够提出问题的朋友都是值得表扬和鼓励的
但是，上节课我们谈了什么内容呢 ? 谈了导出表，为什么会出现导出表呢 ? 正是因为有DLL 这类破坏别人家庭幸福的“小三”的存在~
我们之前谈过，动态链接库它自己是没有占据任何私有空间的，都是寄生在应用程序的私有空间里边。那寄生在别人家里，睡在哪里就肯定不是
小三说了算啦，肯定要由主人决定不是?
所以，在小三的眼里，不用说，肯定永远都睡在大房，但客观事实告诉我们，小三只能住卧室~（有点扯远了，基址重定位就是这么被需求的^_^）

问题三：我们需要对程序中的哪些语句（指令）进行基址重定位呢？
答：请先看下图

这里写图片描述

这是上节课我们用到的动态链接库 Counter.dll 文件，对其用W32Dasm 进行反汇编的截图。
我们分析下，有哪些语句是需要我们来进行基址重定位的呢 ?
（温馨提示：以下内容涉及一些汇编基础和windows基础，不懂的朋友可以参照视频教程。因为一般说话比打字容易，信息量也比较大~）

答案是 —— 但凡涉及到直接寻址的指令都需要进行重定位处理！(那什么是直接寻址? 咱在零基础入门学习汇编里边讲得很清楚啦，只要在机器码中看到有地址的，那就叫直接寻址……那有没有间接的? 肯定哈，间接的就是地址被间接的保存起来，例如存放在寄存器eax, 然后通过访问寄存器来获取地址，那就叫间接~)

那么我们再过头来看下图片，一眼就能扫出以下指令需要对其进行重定位：

:10001026 FF0500300010   inc  dword ptr [10003000]
最低0.47元/天 解锁文章
郭振澳
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【PE结构】重定位表
SMOne
06-30 1746
一、前言 二、PE整体结构 三、DOS头 四、NT头 五、区段头 六、导出表 七、导入表 八、资源表 九、重定位表 1.概念 重定位表 存的是PE文件中需要修改（变量数据）的地址的位置。 全局变量和局部静态变量在PE文件数据段中。 程序代码在寻址这些变量时，用的不是偏移RVA，而是直接地址VA。 2.使用规则 我们知道VA=基址+RVA，而基址默认是...
PE结构图和PE结构
12-28
5. **重定位和基址** - **重定位表**: 当PE文件加载到内存中时，由于地址空间的不确定性，可能需要调整代码和数据的地址。重定位表记录了这些需要修正的位置。 - **基址**: PE文件在内存中的起始地址，允许PE文件...
PE格式详细讲解10 - 系统篇10|解密系列
weixin_34009794的博客
07-05 150
PE格式详细讲解10 -系统篇10 让编程改变世界 Change the world by program 今天有一个朋友发短消息问我说“老师，为什么PE的格式要讲的这么这么细，这可不是一般的细哦”。 其实之所以将PE结构放在解密系列继基础篇之后讲并且尽可能细致的讲，不是因为小甲鱼没事找事做。 主要原因是因为PE结构非常重要，再说做这个课件的确是很费神的事哈。 在这里再次...
第十六、十七章 基址重定位
最新发布
qq_45850212的博客
06-08 193
每个模块都会默认加载到PE头的Image Base的虚拟地址处，如果多个模块的默认基址相同，那么会发生冲突。假设一个模块内部的汇编指令引用了一个“绝对地址”（虚拟地址VA），这条汇编指令正确引用数据当且仅当这个模块按照Image Base加载进内存。但是由于冲突的存在，我们需要修改这条指令所引用的数据的虚拟地址，这就是基址重定位。
基址重定位
weixin_33805743的博客
06-13 161
一、需要重定位的原因 http://blog.sohu.com/s/NDg4ODAyODQ/179103126.html   二、需要重定位的指令 但凡涉及到直接寻址的指令都需要进行重定位处理 http://blog.sohu.com/s/NDg4ODAyODQ/179103126.html   三、参考 http://blog.csdn.net/misskissc/arti...
PE文件基址重定位
SauceJ的专栏
09-01 1240
PE文件基址重定位（Base Relocation）,程序编译时每个模块有一个优先加载地址ImageBase,这个值是连接器给出的，因此连接器生成的指令中的地址是在假设模块被加载到ImageBase前提之下生成的，
windows PE文件结构
05-11
一些节可能有对应的目录项，如导出函数节和基址重定位节，而其他节如.text（代码）和.data（初始化数据）节则没有目录项。 了解PE文件结构对于软件开发、逆向工程、安全分析和系统调试至关重要。通过解析PE文件，...
易语言-易语言PE查看器
06-29
6. **重定位表**：当PE文件被加载到内存时，可能需要调整某些地址，以适应不同的基址。重定位表记录了这些调整信息。 7. **调试信息**：如果PE文件包含调试信息，如PDB符号文件路径，PE查看器会显示这部分内容，...
详细的PE结构图（带中文解释）
09-03
6. **重定位表(Relocation Table)** - **基址偏移量(Base Relocations)**：用于在不同内存地址加载文件时修正代码和数据的引用。 7. **调试信息(Debugging Information)** - **调试头(Debug Header)**：提供了...
PE的loader程序
12-02
在学习PE Loader的实现时，深入理解PE文件格式、内存管理、重定位和动态链接原理至关重要。此外，了解各种防真技术有助于提升安全编程意识，对抗恶意软件和逆向工程攻击。通过分析和实践loader程序，我们可以更好地...
《windows核心编程系列》二十一谈谈基址重定位和模块绑定
系统运维
12-09 160
每个DLL和可执行文件都有一个首选基地址。它表示该模块被映射到进程地址空间时最佳的内存地址。在构建可执行文件时，默认情况下链接器会将它的首选基地址设为0x400000。对于DLL来说，链接器会将它的首选基地址设为0x10000000，然后将该地址以及代码、数据的相关地址都写入它们的PE文件中。当它们被加载时，加载程序读取首选基地址的值，并试图把它们加载到相应位置。 对于可执行文件和DLL中的代码...
Windows：PE格式之基址重定位
无名J0kзr的博客
03-26 621
文章目录杂什么是基址重定位为什么需要基址重定位如何进行基址重定位重定位表的数据结构实例 杂 参考： 基址重定位的作用及详细解析 小甲鱼PE详解之基址重定位详解 PE文件结构（五）基址重定位 《程序员的自我修养：链接、装载与库》 什么是基址重定位 重定位就是把程序的逻辑地址空间变换成内存中的实际物理地址空间的过程，也就是说在装入时对目标程序中指令和数据的修改过程。他是实现多道程序在内存中同时运行的基础。 为什么需要基址重定位 每个PE文件都有一个首选基地址，它表示模块被映射到进程地址空间时最佳的装载位置。 而
24. PE结构-PE详解之基址重定位详解
墨痕诉清风的博客
03-05 800
问题一：什么是基址重定位? 答：重定位就是你本来这个程序理论上要占据这个地址，但是由于某种原因，这个地址现在不能让你霸占，你必须转移到别的地址，这就需要基址重定位。打个比方：例如你现在计划在某某地方建一栋楼，但是有一天你收到上边的通知，这个地方政府临时要征用建公厕，所以这时候你就没辙，得去别的地方建啦~ 问题二：为什么需要基址重定位? 答：其实这个问题看起来跟前边的有点重复不是? 但是有些...
PE 重定位
加号减减号的博客
05-04 1316
PE 重定位简述 基址重定位表 IMAGE_BASE_RELOCATION TypeOffset 重定位地址计算 重定位过程总结 参考资料 PE 重定位简述 当 PE 文件被加载进虚拟内存却并非加载到 PE 头所指定的 ImageBase 处时（如 ASLR 机制），我们就说发生了 PE 重定位。比如说我们某一个 PE 文件的 ImageBase 为 0x400000，然...
操作系统基础知识--内存管理之程序的重定位
weixin_46866349的博客
12-09 1438
程序为什么需要重定位 第一步: 编译——从C到汇编 第二步：汇编与链接——从汇编到可执行程序 最后装载程序到内存中，问题： 如何装载？也就是说程序在内存中如何存放？ 程序怎么能正确开始? 1、将代码段放在内存中从0开始的地方 2、将数据段放在内存中从288开始的地方 3、设置PC=0 如果内存中从0开始的一段内存有专门的用途怎么办? 如存放中断处理程序 需要重定位! 重定位: 为执行程序而对其中出现的地址所做的修改 程序重定位的时机 ...
基址重定位表
wk19951125的博客
02-12 131
基址重定位表PE重定位PE重定位操作原理基址重定位表IMAGE_BASE_RELOCATION结构体计算参考文献 PE重定位 PE重定位：向进程的虚拟内存加载PE文件（EXE\DLL\SYS）时，文件会被加载到PE头指定的ImageBase所指定的地址处。若加载DLL或SYS时，指定位置已经被占用，就会将其加载到其他未被占用的空间。 PE重定位操作原理 PE重定位的基本操作原理： 在应用程序中查...
#include<stdio.h> #include<stdlib.h> #define SUCCESS 1 #define UNSUCCESS 0 #define DUPLICATE -1 //开放定址哈希表的存储结构 int hashsize[]={997,...}; typedef struct{ int *elem; //数据元素存储基址，动态分配数组 int count; //当前数据元素个数 int sizeindex; //hashsize[sizeindex]为当前容量 }HashTable; //哈希函数H(k)=(3*k)MOD 11 int Hash(int key){ return (3*key)%11; } //初始化哈希表 int InitHashTable(HashTable *H){ H->count=0; H->sizeindex=0 H->elem=(int *)malloc(hashsize[H->sizeindex]*sizeof(int)); if(!H->elem){ return UNSUCCESS; } for(int i=0;i<hashsize[H->sizeindex];i++){ H->elem[i]=0; } return SUCCESS; } //插入关键字到哈希表 void InsertHash(HashTable *H,int key){ int addr=Hash(key); //求得哈希地址 if(H->elem[addr]==0){ //插入关键字 H->elem[addr]=key; H->count++; } else{ int i=1; while(H->elem[(addr+i)]%hashsize[H->sizeindex]!=0){ i++; } H->elem[(addr+i)]%hashsize[H->sizeindex]=key; H->count++; } //如果哈希表已满，需要重新分配空间 if(H->count>=hashsize[H->sizeindex]){ H->sizeindex++; H->elem=(int *)realloc(H->elem,hashsize[H->sizeindex]*sizeof(int)); for(int i=H->count;i<hashsize[H->sizeindex];i++){ H->elem[i]=0; } } } //在哈希表中查找关键字 int SearchHash(HashTable *H,int key){ int addr=Hash(key); if(H->elem[addr]==key){ return addr; //关键字已经找到 } else{ //开放定址法处理冲突 int i=1; while(H->elem[(addr+i)]%hashsize[H->sizeindex]!=key){ if(H->elem[(addr+i)]%hashsize[H->sizeindex]==0||i>=hashsize[H->sizeindex]){ return UNSUCCESS; //关键字不存在 } i++; } return (addr+i)]%hashsize[H->sizeindex]; //关键字已经找到 } } ing main(){ int n; printf("关键字序列个数："); scanf("%d",&n); printf("关键字序列："); for(int i=1;i<=n;++i){ printf("%d ",key[i]); } HashTable H; InitHashTable(&H); for(int i=0;i<n;i++){ InsertHash(&H,key[i]); } for(int i=0;i<n;i++){ int addr=SearchHash(H,key[i]); if() } }完善以上代码
05-28
if (H->elem[(addr + i) % hashsize[H->sizeindex]] == 0 || i >= hashsize[H->sizeindex]) { return UNSUCCESS; // 关键字不存在 } i++; } return (addr + i) % hashsize[H->sizeindex]; // 关键字已经找到 ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值