PE格式深入浅出之RAV,AV,ImageBase之间的关系
PE header 的正式命名是 IMAGE_NT_HEADERS。再来回忆一下这个结构。
IMAGE_NT_HEADERS STRUCT
Signature dd ?
FileHeader IMAGE_FILE_HEADER <>
OptionalHeader IMAGE_OPTIONAL_HEADER32 <>
IMAGE_NT_HEADERS ENDS
Signature PE标记，值为50h, 45h, 00h, 00h（PE/0/0）。
FileHeader 该结构域包含了关于PE文件物理分布的一般信息。
OptionalHeader 该结构域包含了关于PE文件逻辑分布的信息。
上一节我们讲了FileHeader，强调了这个结构中有一个属性用来指定创建的节的数量，现在我们来看最后一个OptionalHeader，这里是 PE header 中最后、最大或许也是最重要的成员。optional header 结构是IMAGE_NT_HEADERS 中的最后成员。包含了PE文件的逻辑分布信息。该结构共有31个域，一些是很关键，另一些不太常用。这里只介绍那些真正有用的域。图示如下：
|
Field |
Meanings |
|
AddressOfEntryPoint |
PE装载器准备运行的PE文件的第一个指令的RVA。若您要改变整个执行的流程，可以将该值指定到新的RVA，这样新RVA处的指令首先被执行。 |
|
ImageBase |
PE文件的优先装载地址。比如，如果该值是400000h，PE装载器将尝试把文件装到虚拟地址空间的400000h处。字眼"优先"表示若该地址区域已被其他模块占用，那PE装载器会选用其他空闲地址。 |
|
SectionAlignment |
内存中节对齐的粒度。例如，如果该值是4096 (1000h)，那么每节的起始地址必须是4096的倍数。若第一节从401000h开始且大小是10个字节，则下一节必定从402000h开始，即使401000h和402000h之间还有很多空间没被使用。 |
|
FileAlignment |
文件中节对齐的粒度。例如，如果该值是(200h),，那么每节的起始地址必须是512的倍数。若第一节从文件偏移量200h开始且大小是10个字节，则下一节必定位于偏移量400h: 即使偏移量512和1024之间还有很多空间没被使用/定义。 |
|
MajorSubsystemVersion |
win32子系统版本。若PE文件是专门为Win32设计的，该子系统版本必定是4.0否则对话框不会有3维立体感。 |
|
SizeOfImage |
内存中整个PE映像体的尺寸。它是所有头和节经过节对齐处理后的大小。 |
|
SizeOfHeaders |
所有头+节表的大小，也就等于文件尺寸减去文件中所有节的尺寸。可以以此值作为PE文件第一节的文件偏移量。 |
|
Subsystem |
NT用来识别PE文件属于哪个子系统。 对于大多数Win32程序，只有两类值: Windows GUI 和 Windows CUI (控制台)。 |
|
DataDirectory |
一IMAGE_DATA_DIRECTORY 结构数组。每个结构给出一个重要数据结构的RVA，比如引入地址表等。 |
也许有人问了，上面的参数那么多，我怎么看得懂啊？如果您想看懂，就必须先要清楚以下几个基础点：
1. 在运行一个可执行文件时，将它装载入内存中，主要就是将一个PE文件的某一部分映射到地址空羊中。这样，PE文件的数据结构在磁盘和内存中就是一样的了（windows加载器遍历PE文件并决定文件的哪一部分被映射）。
2. 文件偏移地址（或物理地址）：当PE文件存储在磁盘上时，各个数据的地址。一般我们用16进制编辑工具打开后显示的就是。
3. 虚拟地址：由于windows运行在保护模式下，所以程序访问存储器所使用的逻辑地址就是偏移地址，简称VA，又称为内存偏移地址。
4. 虚拟地址为什么一定要转化为物理地址的原因：
计算机中的物理内存是字节的线性数组，每字节具有一个唯一的物理地址；程序中的地址是由两部分构成的逻辑地址。这种逻辑地址并不能直接用于访问物理内存，而需要使用地址变换机制将它变换或映射到物理内存地址上。内存管理机制即用于将这种逻辑地址转换成物理内存地址。那么我们要修改时，就需要将物理地址映射到虚拟地址了。
5. 基地址：程序运行时，被映射到程序指定内存处。内存处的起始地址就是基地址。
6. 相对虚拟地址（RVA）:是指相对于基地址的偏移量。RVA 代表相对虚拟地址。简言之，RVA是虚拟空间中到参考点的一段距离。我打赌您肯定熟悉文件偏移量: RVA就是类似文件偏移量的东西。当然它是相对虚拟空间里的一个地址，而不是文件头部。
7. 为什么PE文件格式要用到RVA呢? 这是为了减少PE装载器的负担。因为每个模块多有可能被重载到任何虚拟地址空间，如果让PE装载器修正每个重定位项，这肯定是个梦魇。相反，如果所有重定位项都使用RVA，那么PE装载器就不必操心那些东西了: 它只要将整个模块重定位到新的起始VA。这就象相对路径和绝对路径的概念: RVA类似相对路径，VA就象绝对路径。
VA,RVA,基址关系可描述如下：
VA=RVA+基址
以上可用图描述如下：
从图中我们可以看到：（假设物理地址与VA的差值为器k）
物理地址（文件偏移地址）＝RVA－k;
物理地址（文件偏移地址）＝VA－基地址－k;
