RAW与RVA

RAW与RVA"/>

RAW与RVA

前言

本文描述节区RAW与RVA之间的的转换

RAW：文件偏移
RVA：相对虚拟地址（是指相对与ImageBase的偏移）

节区数据结构

typedef struct _IMAGE_SECTION_HEADER {BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];union {DWORD PhysicalAddress;DWORD VirtualSize;} Misc;DWORD VirtualAddress;DWORD SizeOfRawData;DWORD PointerToRawData;DWORD PointerToRelocations;DWORD PointerToLinenumbers;WORD  NumberOfRelocations;WORD  NumberOfLinenumbers;DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

相关成员介绍

VirtualSize可能大于PointerToRawData，PointerToRawData也可能大于VirtualSize

VirtualSize按照SectionAlignment对齐，SizeOfRawData按照FileAlignment对齐。节对齐是按照内存分页大小对齐，Win32下最小4K，文件对齐按照文件系统的最小存储单位对齐，一个扇区最小512K。

计算公式

RVA = VA - ImageBase
RAW = RVA - VirtualAddress + PointerToRawData

举例

             PE在磁盘时              PE在内存时|  ......  |          |  ......  |   
-->0x00000400+----------+          +----------+0x01001000<--|7800 .text|          |7800 .text| 
-->0x00007c00+----------+          +----------+0x01009000<--|800  .data|          |800  .data|
-->0x00008400+----------+          +----------+0x0100B000<--|  ......  |          |  ......  | 

ImageBase为0x01000000

假如知道内存地址0x01005000（进程运行在虚拟地址空间，多以这个地址是虚拟地址VA）

RVA = VA - ImageBase = 0x01005000 - 0x01000000 = 0x5000

需要RVA的值在哪个节区，然后计算出RAW，可以通过下面伪代码找到RVA所在的节区：

DWORD RvaToRaw(WORD rva, IMAGE_SECTION_HEADER *pSectionHeaders, DWORD NumberOfSection)
{int i;IMAGE_SECTION_HEADER *pSec = pSectionHeaders;for (i = 0; i < NumberOfSection; i++){if (rva >= pSec->VirtualAddress && rva <= pSec->VirtualAddress + pSec->Misc.VirtualSize){return (rva - pSec->VirtualAddress + PointerToRawData);}pSec++;}return -1;
}

RAW = RVA - VirtualAddress + PointerToRawData = 0x5000 - 0x1000 + 0x400 = 0x4400
可以找到RAW对应的是.text段

如果VirtualSize > SizeOfRawData，存在SizeOfRawData < RVA - VirtualAddress < VirtualSize这种情况，通过RAW = RVA - VirtualAddress + PointerToRawData这个公式会找不到正确的RAW，通过该公式计算到的RAW范围是：PointerToRawData到PointerToRawData +VirtualSize

而文件中节区的RAW范围是：PointerToRawData到PointerToRawData+ SizeOfRawData

如RVA为0xABA8，该RVA对应内存中的.data段，RWA = 0XABA8 - 0x9000 + 0x7C00 = 0x97A8，通过计算的到的RAW = 0x97A8并不落在PE文件的.data段。