PE文件与虚拟内存
一、PE文件
Portable Execute文件是windows下可执行文件的总称,常见的有dll、exe、sys等。
PE文件的结构包括:DOS头、NT头、节表和节,节包括.text、.rdata、.data、.rsrc等节。其中DOS头用来兼容MS-DOS系统的,NT头描述PE文件的签名等信息,节表阐述了后面的节如何加载到内存,PE文件至少包含.text和.data两个节。
二、PE文件与虚拟内存之间的关系
静态反汇编得到的PE文件中某条指令是相对于磁盘而言的,而我们又经常需要知道这条指令在内存中对应的位置,这就需要我们了解PE文件地址和虚拟内存地址之间的关系。
介绍几个概念:
1.文件偏移地址(File Offset):文件在磁盘中相对于文件头的偏移地址。
2.装载地址(Image Base):PE装入内存时的基地址,一般exe是0x00400000,dll文件是0x10000000.
3.虚拟内存地址(VA):PE文件中的指令装入内存中的地址。
4.相对虚拟地址(RVA):内存地址相对于映射基址的偏移量
两个关系式:VA=Image Base+RVA
File Offset=VA-Image Base -节偏移=RVA-节偏移
简单来讲就是磁盘数据标准和内存数据标准的不同,导致PE文件的相对地址不同,产生节偏移。