RAW与RVA"/>
RAW与RVA
前言
本文描述节区RAW与RVA之间的的转换
RAW:文件偏移
RVA:相对虚拟地址(是指相对与ImageBase的偏移)
节区数据结构
typedef struct _IMAGE_SECTION_HEADER {BYTE Name[IMAGE_SIZEOF_SHORT_NAME];union {DWORD PhysicalAddress;DWORD VirtualSize;} Misc;DWORD VirtualAddress;DWORD SizeOfRawData;DWORD PointerToRawData;DWORD PointerToRelocations;DWORD PointerToLinenumbers;WORD NumberOfRelocations;WORD NumberOfLinenumbers;DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
相关成员介绍
member | description |
---|---|
VirtualSize | 节区加载到内存中节区所占内存大小 |
VirtualAddress | 节区在内存的相对虚拟地址,为RVA |
SizeOfRawData | 节区占磁盘的大小 |
PointerToRawData | 节区在文件中的偏移 |
VirtualSize可能大于PointerToRawData,PointerToRawData也可能大于VirtualSize
VirtualSize按照SectionAlignment对齐,SizeOfRawData按照FileAlignment对齐。节对齐是按照内存分页大小对齐,Win32下最小4K,文件对齐按照文件系统的最小存储单位对齐,一个扇区最小512K。
计算公式
RVA = VA - ImageBase
RAW = RVA - VirtualAddress + PointerToRawData
举例
PE在磁盘时 PE在内存时| ...... | | ...... |
-->0x00000400+----------+ +----------+0x01001000<--|7800 .text| |7800 .text|
-->0x00007c00+----------+ +----------+0x01009000<--|800 .data| |800 .data|
-->0x00008400+----------+ +----------+0x0100B000<--| ...... | | ...... |
ImageBase为0x01000000
假如知道内存地址0x01005000(进程运行在虚拟地址空间,多以这个地址是虚拟地址VA)
RVA = VA - ImageBase = 0x01005000 - 0x01000000 = 0x5000
需要RVA的值在哪个节区,然后计算出RAW,可以通过下面伪代码找到RVA所在的节区:
DWORD RvaToRaw(WORD rva, IMAGE_SECTION_HEADER *pSectionHeaders, DWORD NumberOfSection)
{int i;IMAGE_SECTION_HEADER *pSec = pSectionHeaders;for (i = 0; i < NumberOfSection; i++){if (rva >= pSec->VirtualAddress && rva <= pSec->VirtualAddress + pSec->Misc.VirtualSize){return (rva - pSec->VirtualAddress + PointerToRawData);}pSec++;}return -1;
}
RAW = RVA - VirtualAddress + PointerToRawData = 0x5000 - 0x1000 + 0x400 = 0x4400
可以找到RAW对应的是.text段
如果VirtualSize > SizeOfRawData
,存在SizeOfRawData < RVA - VirtualAddress < VirtualSize
这种情况,通过RAW = RVA - VirtualAddress + PointerToRawData
这个公式会找不到正确的RAW,通过该公式计算到的RAW范围是:PointerToRawData到PointerToRawData +VirtualSize
而文件中节区的RAW范围是:PointerToRawData到PointerToRawData+ SizeOfRawData
如RVA为0xABA8,该RVA对应内存中的.data段,RWA = 0XABA8 - 0x9000 + 0x7C00 = 0x97A8
,通过计算的到的RAW = 0x97A8并不落在PE文件的.data段。
更多推荐
RAW与RVA
发布评论