文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

PE知识复习之PE的重定位表

PE知识复习之PE的重定位表 一丶何为重定位　　 　　　　重定位的意思就是修正偏移的意思. 如一个地址位 0x401234 ,Imagebase = 0x400000 ....二丶重定位表的定位以及结构 　　重定位表.的定位在扩展头中的数据目录中. 数据目录的第6项就是重定位表的 RVA偏移.以及重定位表的大小....我们知道.一个PE文件需要很多地方进行重定位的.比如这个记录的 大小为16....所以修复的位置是 0x116b0的位置. 0x116b0 + 当前PE文件的ImageBase就是要进行重定位的位置 当前PE的Imagebase为0x400000 重定位地方为 0x4116b0位置...全局变量是在内存中的data节存储着.所以观看前几篇博客.能知道如何定位全局变量在文件的位置. 三丶总结重定位 　　　　重定位表有两个成员.

1.6K30

PE格式第七讲,重定位表

PE格式第七讲,重定位表 一丶何为重定位(注意,不是重定位表格) 首先,我们先看一段代码,比如调用Printf函数,使用OD查看....首先说下,一般重定位表格都是DLL中的,因为满足不了模块首地址的需求,所以会遇到函数的重定位问题....四丶数组解析查看  那么按照我们的想法看上面重定位表中的数组的第一个,按照小尾方式读取则是 0x3005  那么高位是3那么就是要修改大小是4个字节,005则是代表偏移....五丶实战演练查看  因为DLL中的重定位表中的项太多,所以这里使用一个EXE(没有导出函数的EXE),然后注入这个DLL,那么这个EXE就有重定位表格了....首先我们先看DLL, 3005的位置要重定位 按照公式我们得出,要修改的位置是 现在模块地址 + 当前表中记录分页 + 数组中后三位的偏移(上面说过,如果按照分页存储,那么3位就可以表达一个分页需要记录的了

99670
您找到你想要的搜索结果了吗？
是的
没有找到

2.10 PE结构：重建重定位表结构

Windows系统使用PE（Portable Executable）文件格式来存储可执行程序，其中包括重定位信息。当程序被加载到内存中时，系统会解析这些重定位信息，并将程序中的各种内存地址进行重定位。...重定位表一般出现在DLL中，因为DLL都是动态加载，所以地址不固定，DLL的入口点在整个执行过程中至少要执行2次，一次是在开始时执行初始化工作，一次则是在结束时做最后的收尾工作，重定位表则是解决DLL的地址问题...WinHex工具定位到0x00001800即可看到重定位表信息，如下图中的1000代表的是重定位RVA地址，绿色的0104代表的则是重定位块的长度，后面则是每两个字节代表一个重定位块，0A是重定位地址，...图片重定位表也是分页排列的，每一页大小都是1000字节，通过使用FixRelocPage命令即可查询到当前程序中的重定位块信息，并以第一个为例，查询一下起始地址RVA为1000的页上，有哪些重定位结构，...遍历重定位表中的重定位块，以0结尾 while (Reloc->SizeOfBlock !

24831

2.7 PE结构：重定位表详细解析

重定位表（Relocation Table）是Windows PE可执行文件中的一部分，主要记录了与地址相关的信息，它在程序加载和运行时被用来修改程序代码中的地址的值，因为程序在不同的内存地址中加载时，...重定位表中的每个记录都称为一项（entry），每个entry包含了需要修正的地址值的详细信息，通常是以可变长度数据的形式存储在一个或多个叫做重定位块（relocation block）的数据结构中。...在这3个数据中，模块的建议装入地址已经在PE文件头中定义了，而模块的实际装入地址时Windows装载器在装载文件时确定的，事实上PE文件重定位表中保存的仅仅只是，一大堆需要修正的代码的地址。...重定位表IMAGE_BASE_RELOCATION解析 重定位表会被单独存放在.reloc命名的节中，重定位表的位置和大小可以从数据目录中的第6个IMAGE_DATA_DIRECTORY结构中获取到，该表的组织方式时以...PE文件中的重定位表（Relocation Table）的起始地址，重定位表是一个可变长度的数据结构，其中包含了一组以4个字节为单位的记录，每个记录表示一个需要修正的地址及其操作类型。

21210

2.10 PE结构：重建重定位表结构

Windows系统使用PE（Portable Executable）文件格式来存储可执行程序，其中包括重定位信息。...当程序被加载到内存中时，系统会解析这些重定位信息，并将程序中的各种内存地址进行重定位。...重定位表一般出现在DLL中，因为DLL都是动态加载，所以地址不固定，DLL的入口点在整个执行过程中至少要执行2次，一次是在开始时执行初始化工作，一次则是在结束时做最后的收尾工作，重定位表则是解决DLL的地址问题...重定位表也是分页排列的，每一页大小都是1000字节，通过使用FixRelocPage命令即可查询到当前程序中的重定位块信息，并以第一个为例，查询一下起始地址RVA为1000的页上，有哪些重定位结构，如下图所示...遍历重定位表中的重定位块，以0结尾 while (Reloc->SizeOfBlock !

24410

2.7 PE结构：重定位表详细解析

重定位表（Relocation Table）是Windows PE可执行文件中的一部分，主要记录了与地址相关的信息，它在程序加载和运行时被用来修改程序代码中的地址的值，因为程序在不同的内存地址中加载时，...重定位表中的每个记录都称为一项（entry），每个entry包含了需要修正的地址值的详细信息，通常是以可变长度数据的形式存储在一个或多个叫做重定位块（relocation block）的数据结构中。...在这3个数据中，模块的建议装入地址已经在PE文件头中定义了，而模块的实际装入地址时Windows装载器在装载文件时确定的，事实上PE文件重定位表中保存的仅仅只是，一大堆需要修正的代码的地址。...重定位表IMAGE_BASE_RELOCATION解析重定位表会被单独存放在.reloc命名的节中，重定位表的位置和大小可以从数据目录中的第6个IMAGE_DATA_DIRECTORY结构中获取到，该表的组织方式时以...Type :4; // 大小为4Bit的重定位信息类型值 }TypeOffset; // 这个结构体是A1Pass总结的PIMAGE_BASE_RELOCATION指针指向PE文件中的重定位表

59030

PE文件和COFF文件格式分析——导出表的应用——通过导出表隐性加载DLL

通过导出表隐性加载DLL？导出表？加载DLL？还隐性？是的。如果觉得不可思议，可以先看《PE文件和COFF文件格式分析——导出表》中关于“导出地址表”的详细介绍。...Exe调用一个DLL中的方法，有两种方法：         1 在Exe导入表中加入DLL中函数信息，例如我们程序中调用GetProcAddress这类的API就是因为我们程序默认的导入表中包含了Kernel32...2 在逻辑中通过LoadLibrary动态载入一个DLL，然后通过GetProcAddress获取函数地址。这样我们在Exe的导入表中是看不到这个DLL的信息的。        ...新修改的DLL文件，我们用View Denpendencies查看下 ?         可以看到修改后的DLL并没有使DllBase.dll出现在导入表中，我们还是好好的隐藏着。        ...这样我们就是实现了通过导出表隐性加载DLL的方法。是不是很有意思？         最后我们看下3个DLL在内存中存在的情况 1 ? 2 ? 3 ?

70930

PE文件和COFF文件格式分析——导出表的应用——一种插件模型

可能在很多人想想中，只有DLL才有导出表，而Exe不应该有导出表。而在《PE文件和COFF文件格式分析——导出表》中，我却避开了这个话题。...我就是想在本文中讨论下载Exe中存在导出表的场景。...（转载请指明出于breaksoftware的csdn博客）         首先要说的是Exe是可以有导出表的，我用我写的PE分析工具扫描了我电脑上所有文件。发现有导出表的Exe文件还不少。...那我们收敛一下方案，我们做个空壳DLL（使用《PE文件和COFF文件格式分析——导出表》介绍的类似于Kernel32.dll的AddVectoredExceptionHandler导出方法，这个方法的应用我会在之后写篇文章介绍...），该DLL就导出B.dll中B1()、C.dll中C1()和D.dll中D1()的入口地址。

60450

PE文件和COFF文件格式分析——导出表的应用——一种摘掉Inline钩子(Unhook)的方法

在日常应用中，某些程序往往会被第三方程序下钩子(hook)。...ebp寄存器中。...虽然这样的结构有种种好处，但是这个肯定不是必须的。所以函数的起始地址指令是不确定的。这儿之所以说这么一大堆，是想说明，Hook库对不同的API进行Hook的方式是不同的。...我将从被Hook函数的PE文件中，读取原来的代码，然后和现在内存中的代码做对比。如果不同，则被hook，并将不同的地方改成PE文件中的函数代码。...其中涉及的PE知识可以参考《PE文件和COFF文件格式分析》。其中最需要关注的是《PE文件和COFF文件格式分析——导出表》，该文讲述了如何从PE文件中获取代码地址的方法。

86820

2.1 PE结构：文件映射进内存

PE结构是Windows系统下最常用的可执行文件格式，理解PE文件格式不仅可以理解操作系统的加载流程，还可以更好的理解操作系统对进程和内存相关的管理知识，在任何一款操作系统中，可执行程序在被装入内存之前都是以文件的形式存放在磁盘中的...，在早期DOS操作系统中，是以COM文件的格式存储的，该文件格式限制了只能使用代码段，堆栈寻址也被限制在了64KB的段中，由于PC芯片的快速发展这种文件格式极大的制约了软件的发展。...为了应对这种局面，微软的工程师们就发明了新的文件格式(EXE文件)，该文件格式在代码段前面增加了文件头结构，文件头中包括各种说明数据，如程序的入口地址,堆栈的位置,重定位表等，显然可执行文件的格式是操作系统工作方式的真实写照...PE结构包含了各类结构体，DOS头，PE标识，文件头，可选头，目录结构，节表，导入表，导出表，重定位表，资源表等等，要想掌握PE结构首相要对这些表有一个整体上的认识，Windows NT 系统中可执行文件使用微软设计的新的文件格式...，也就是至今还在使用的PE格式，PE文件的基本结构如下图所示：图片在PE文件中，代码,已初始化的数据，资源和重定位信息等数据被按照属性分类放到不同的Section(节区/或简称为节)中，而每个节区的属性和位置等信息用一个

21810

2.1 PE结构：文件映射进内存

PE结构是Windows系统下最常用的可执行文件格式，理解PE文件格式不仅可以理解操作系统的加载流程，还可以更好的理解操作系统对进程和内存相关的管理知识，在任何一款操作系统中，可执行程序在被装入内存之前都是以文件的形式存放在磁盘中的...，在早期DOS操作系统中，是以COM文件的格式存储的，该文件格式限制了只能使用代码段，堆栈寻址也被限制在了64KB的段中，由于PC芯片的快速发展这种文件格式极大的制约了软件的发展。...为了应对这种局面，微软的工程师们就发明了新的文件格式(EXE文件)，该文件格式在代码段前面增加了文件头结构，文件头中包括各种说明数据，如程序的入口地址,堆栈的位置,重定位表等，显然可执行文件的格式是操作系统工作方式的真实写照...PE结构包含了各类结构体，DOS头，PE标识，文件头，可选头，目录结构，节表，导入表，导出表，重定位表，资源表等等，要想掌握PE结构首相要对这些表有一个整体上的认识，Windows NT 系统中可执行文件使用微软设计的新的文件格式...，也就是至今还在使用的PE格式，PE文件的基本结构如下图所示： 在PE文件中，代码,已初始化的数据，资源和重定位信息等数据被按照属性分类放到不同的Section(节区/或简称为节)中，而每个节区的属性和位置等信息用一个

22220

2.1 PE结构：文件映射进内存

PE结构是Windows系统下最常用的可执行文件格式，理解PE文件格式不仅可以理解操作系统的加载流程，还可以更好的理解操作系统对进程和内存相关的管理知识，在任何一款操作系统中，可执行程序在被装入内存之前都是以文件的形式存放在磁盘中的...，在早期DOS操作系统中，是以COM文件的格式存储的，该文件格式限制了只能使用代码段，堆栈寻址也被限制在了64KB的段中，由于PC芯片的快速发展这种文件格式极大的制约了软件的发展。...为了应对这种局面，微软的工程师们就发明了新的文件格式(EXE文件)，该文件格式在代码段前面增加了文件头结构，文件头中包括各种说明数据，如程序的入口地址,堆栈的位置,重定位表等，显然可执行文件的格式是操作系统工作方式的真实写照...PE结构包含了各类结构体，DOS头，PE标识，文件头，可选头，目录结构，节表，导入表，导出表，重定位表，资源表等等，要想掌握PE结构首相要对这些表有一个整体上的认识，Windows NT 系统中可执行文件使用微软设计的新的文件格式...，也就是至今还在使用的PE格式，PE文件的基本结构如下图所示： 在PE文件中，代码,已初始化的数据，资源和重定位信息等数据被按照属性分类放到不同的Section(节区/或简称为节)中，而每个节区的属性和位置等信息用一个

36340

十七.Windows PE病毒概念、分类及感染方式详解

PE文件格式总体结构 接着让我们来欣赏下PE文件格式总体结构图，包括：MZ头部、DOS stub、PE文件头、可选文件头、节表、节等。 上一篇文章我们对PE文件格式进行详细解析。...3.关键技术 (1) 重定位 重定位是把程序的逻辑地址空间变换成内存中的实际物理地址空间的过程。由于DLL文件会加载到不同位置，为防止AV地址定位出错，该技术常见于DLL文件中。...重定位本质：修正实际地址与预期地址差异 但根据HOST特征逐一硬编码这种方式不太可取，其繁琐且未必准确，所以采用另一种方法，病毒代码运行过程中自我重定位。 下图展示了病毒代码自我重定位的过程。...； 第四步，当需要重定位时，比如使用varl变量，重定位通过ebp+offset来消除差异，此时eax中存放varl在内存中的真实地址。...对于操作系统本身，它的启动方式很多，系统内部包括（后续文章可能会复现不同的方式）： 注册表中的键值 系统中的特定位置 配置文件 特定路径的特定文件，如Explorer.exe（显示桌面） 下图展示了Autoruns

4.4K11

EXE文件结构及读取方法

一、EXE文件概念 EXE File英文全名executable file ，译作可运行文件，可移植可运行 (PE) 文件格式的文件，它能够载入到内存中，并由操作系统载入程序运行。...exe文件比較复杂，属于一种多段的结构，是DOS最成功和复杂的设计之中的一个。每一个exe文件包括一个文件头和一个可重定位程序的映像。...文件头包括MS-DOS用于载入程序的信息，比如程序的大小和寄存器的初始值。文件头还指向一个重定位表，该表包括指向程序映像中可重定位段地址的指针链表。...MS-DOS通过把该映像直接从文件拷贝到内存载入exe程序，然后调整定位表中说明的可重定位段地址。定位表是一个重定位指针数组，每一个指向程序映像中的可重定位段地址。...ios_base类封装了C++标准中的流输入输出中不依赖于读写的数据的类型的基本信息，如格式化信息、异常状态、事件回调函数等。 关于PE文件的头，能够參考PE文件说明。

1.3K20

Win32汇编：汇编版PE结构解析器

PE格式是Windows系统下最常用的可执行文件格式,有些应用必须建立在了解PE文件格式的基础之上,如可执行文件的加密与解密,文件型病毒的查杀等,熟练掌握PE文件结构,有助于软件的分析，本文章文字描述提取自...的段中,这样极大的限制了软件的发展.为了应对这种局面,出现了另一种可执行文件,那就是我们所熟悉的exe文件,exe文件在代码前面加了一个文件头,文件头中包括各种说明数据,如程序的入口地址,堆栈的位置,重定位表等...,显然可执行文件的格式是操作系统工作方式的写照,不同的系统之间文件格式千差万别,从而导致不同系统中的可执行文件无法跨平台运行.PE文件的基本结构如下所示,在PE文件中,代码,已初始化的数据,资源和重定位信息等数据被按照属性分类放到不同的...,可执行,可读写等属性.在PE文件中将同样属性的数据分类放在一起是为了统一描述这些数据装入内存后的页面属性,由于数据是按照属性在节中放置的,不同用途但是属性相同的数据可能被放在同一个节中,PE文件头被放置在节和节表的前面...,例如预处理,重定位等,装入以后页面位置,偏移等都会随之发生改变,Windows装载器在装载DOS部分,PE文件头部分和节表部分时不进行任何处理,而装载节的时候将根据节的属性做不同的处理..386.model

31220
点击加载更多

扫码

添加站长 进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

更多标签

活动推荐

    运营活动

    活动名称
    广告关闭

    腾讯云开发者

    扫码关注腾讯云开发者

    扫码关注腾讯云开发者

    领取腾讯云代金券

    热门产品

    热门推荐

    更多推荐

    Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

    深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

    腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287

    领券