PE文件笔记十七 重定位表

确实是个孩子谥

继承PE系列笔记的更新
PE别的笔记索引可前往：
PE文件笔记一 PE先容
前面在PE文件笔记十六 代码重定位中学习了代码重定位，接着学习重定位表
重定位表

重定位表的作用

经过前面对导入表和导出表的学习，知道了一个步调运行时一般需要加载多个PE文件
而每个PE文件在内存中的首地址由扩展PE头中的ImageBase决定；当前面的PE文件占用了后面PE文件在内存中位置时，答应后面PE文件重新选择一个基地址。这时候就需要对全部的重定位信息进行修正，而修正的依据就是PE中的重定位表
操纵体系会根据重定位表对代码予以纠正，使得代码位置移动后仍然能够精确地运行；也就是代码重定位的工作由操纵体系来完成
什么是重定位表

重定位表就是记录代码位置移动后修正重定位信息所需要的一种结构
PS：也就是说当代码位置没有发生移动时，是用不到重定位表的
定位重定位表

定位重定位表原理

像导入表、导出表、重定位表、资源表等表，这些表的起始地址和大小都存储在扩展PE头里的DataDirectory这个数组的成员中，DataDirectory是一个数组，每个数构成员对应一张表
回顾先前的笔记PE文件笔记五 PE文件头之扩展PE头，能得到重定位表对应的下标为5
宏定义值含义IMAGE_DIRECTORY_ENTRY_BASERELOC5基地址重定位表即DataDirectory[5]表示重定位表
关于DataDirectory的详细描述在之前的笔记中已经详细阐明过了，这里不再赘述：
IMAGE_DATA_DIRECTORY成员数据宽度阐明VirtualAddressDWORD(4字节)表的起始位置（RVA）SizeDWORD(4字节)表的大小定位重定位表流程

• 找到扩展PE头的最后一个成员DataDirectory
  
• 获取DataDirectory[5]
  
• 通过DataDirectory[5].VirtualAddress得到导入表的RVA
  
• 将导出表的RVA转换为FOA，在文件中定位到导入表
  

按流程定位重定位表

要分析的实例

这次分析的实例还是先前的EverEdit.exe
步调在后面的附件中，有需要可以自行取用
找到DataDirectory

利用WinHex打开EverEdit.exe，先找到PE文件头的起始地址：0xF0

再数24个字节（PE文件头标志大小+尺度PE头大小），到达扩展PE头：0xF0+24=240+24=264=0x108
然后在数224-128=96个字节（扩展PE头大小减去DataDirectory大小）DataDirectory大小= _IMAGE_DATA_DIRECTORY大小×16=8*16
DataDirectory首地址 = 扩展PE头地址+96=0x108+96=264+96=360=0x168

获取DataDirectory[5]

而重定位表为DataDirectory[5]
重定位表地址 = DataDirectory首地址 + sizeof(IMAGE_DATA_DIRECTORY)×5=0x168+8×5=360+40=400=0x190
DataDirectory[5].VirtualAddress
IMAGE_DATA_DIRECTORY成员值阐明VirtualAddress0x00281000表的起始位置（RVA）Size0x00015B68表的大小得到重定位表的RVA

于是得到导出表对应的RVA为：0x281000
RVA转换FOA

但是IMAGE_DATA_DIRECTORY中的VirtualAddress是RVA，需要将其转换成FOA
关于RVA转FOA的内容在 PE文件笔记七 VA与FOA转换中已经详细阐明了，这里不再赘述
此时利用PE工具：DIE来进行RVA和FOA的转换，没有利用自己所写的工具


获得了FOA为0x241c00，也就是重定位表的位置了，定位完成
重定位表的结构

定位到了重定位表后自然要相识重定位表的结构才能解读重定位表的内容
与导入表类似，重定位表指针指向的位置是一个数组，而不像导出表一样只有一个结构。这个数组的每一项都是如下结构：
typedef struct _IMAGE_BASE_RELOCATION {    DWORD   VirtualAddress;                //重定位内存页的起始RVA    DWORD   SizeOfBlock;                //重定位块的长度} IMAGE_BASE_RELOCATION;
重定位表的划分

可以看到，重定位表被分为一个个重定位块
每个重定位块的大小由SizeOfBlock决定，重定位块大小 = SizeOfBlock
为什么重定位表要被分为一个个重定位块？
答：为了节流空间
举个例子：
假设有一堆数据：
0x0080 0610
0x8006 5000
0x0080 0520
0x0080 5210
……
这些数据都是0x0080XXXX的格式，假设数据共有N个
如果按照正常的存储方式，需要N×4 = 4N个字节的空间才能存储下
如果按照基地址+偏移的方式来存储：
即先存储一个基地址：0x0080 0000 （DWORD 4字节）
之后存储的数据只需要存储偏移即可：
0x0080 0610 → 0x0610        (WORD 2字节)
0x8006 5000 → 0x5000        (WORD 2字节)
0x0080 0520 → 0x0520        (WORD 2字节)
0x0080 5210 → 0x5210        (WORD 2字节)
……                                  → ……  - 0x00800000        (WORD 2字节)
此时所需要的空间为：4(基地址占用的空间) + 2×N = 2N+4个字节的空间
对比先前的所需要的空间4N，不难发现，当数据量足够巨大的时候，节流的空间能够接近一半
通过上面的例子，再来明白_IMAGE_BASE_RELOCATION这个结构体
_IMAGE_BASE_RELOCATION成员数据宽度阐明VirtualAddressDWORD(4字节)数据的基地址的RVASizeOfBlockDWORD(4字节)重定位块的总大小重定位表块是怎样设计的

前面知道了重定位表被划分成一块块重定位块以达到节流空间的目的
那么重定位表块是怎样设计的？一共有多少个重定位表块？
重定位表块是根据物理内存来设计的
内存是以4KB为单元的，也就是在物理内存上每一个内存的大小划分是4KB，以4KB为一个物理页（这里涉及后面的内存分页的知识）
一个重定位表块对应一个物理页
重定位表块中的数据项(偏移)

前面知道了，重定位表块中SizeOfBlock后的数据部门是作为偏移来利用的，每一个数据项的大小为(WORD)2字节
实际上数据项只有后12位是用来表示偏移的，高4位留作它用
好比：对于一个数据项为：0011 0110 0001 0000  共16位(2字节)
其偏移的数值为：0110 0001 0000 = 0x610
先说说为什么只需要拿12位作为偏移便足矣？
前面提到了物理页的大小是4KB，4KB = 2的12次方 B
也就是说，在一个物理页内的偏移最大也就是4KB = 2的12次方 B
于是只需要利用12位就表示一个物理页内的全部偏移
相识了为什么只需要12位作为偏移后，再来看看高4位的作用

在实际的PE文件中，我们只能看到0和3这两种情况（对应二进制为：0000 和 0011），也就是说这一项要么是对齐用的，要么是需要全部修正的
对于为0的情况，表明该数据为对齐用的添补的垃圾数据，所以不需要对其进行重定位
重定位表的结尾

重定位表的结尾为：找到一项_IMAGE_BASE_RELOCATION，其成员的值均为0
按结构分析重定位表


选中部门为第一个重定位块，以它为例进行分析
将对应的结构填入结构体成员中得到：
_IMAGE_BASE_RELOCATION成员值阐明VirtualAddress0x00001000数据的基地址的RVASizeOfBlock0x00000084重定位块的总大小=以VirtualAddress为基地址的数据的个数×2+8于是得到了：
第一个重定位块的基地址的RVA为：0x1000，将其转换成FOA得到：0x400（转换方法说了很多次了，这里不再赘述）

接着再根据SizeOfBlock算出以VirtualAddress为基地址的数据的个数
个数 = (SizeOfBlock-8)÷2 = (0x84-8)÷2 =(132-8)÷2=124÷2=62个
接下来看需要修正的第一个数据的偏移为：0x3010
先将其转换为二进制得到：0011 0000 0001 0000
高四位为3，表明该数据有效而且需要对它进行重定位
低四位为：0x10，表明该数据的偏移为0x10
最后用基地址+偏移得到 完整的地址为：0x400 + 0x10 =0x410
用WinHex到0x410的位置查看：

不难看出该地址存储的数据是一个VA(假造地址)，也就是一个绝对地址，所以需要修正
代码实现分析重定位表

// PE.cpp : Defines the entry point for the console application.//#include #include #include #include #include //在VC6这个比较旧的环境里，没有定义64位的这个宏，需要自己定义，在VS2019中无需自己定义#define IMAGE_FILE_MACHINE_AMD64  0x8664//VA转FOA 32位//第一个参数为要转换的在内存中的地址：VA//第二个参数为指向dos头的指针//第三个参数为指向nt头的指针//第四个参数为存储指向节指针的数组UINT VaToFoa32(UINT va, _IMAGE_DOS_HEADER* dos, _IMAGE_NT_HEADERS* nt, _IMAGE_SECTION_HEADER** sectionArr) {        //得到RVA的值：RVA = VA - ImageBase        UINT rva = va - nt->OptionalHeader.ImageBase;        //输出rva        //printf("rva:%X\n", rva);        //找到PE文件头后的地址 = PE文件头首地址+PE文件头大小        UINT PeEnd = (UINT)dos->e_lfanew + sizeof(_IMAGE_NT_HEADERS);        //输出PeEnd        //printf("PeEnd:%X\n", PeEnd);        //判定rva是否位于PE文件头中        if (rva < PeEnd) {                //如果rva位于PE文件头中，则foa==rva，直接返回rva即可                //printf("foa:%X\n", rva);                return rva;        }        else {                //如果rva在PE文件头外                //判定rva属于哪个节                int i;                for (i = 0; i < nt->FileHeader.NumberOfSections; i++) {                        //盘算内存对齐后节的大小                        UINT SizeInMemory = ceil((double)max((UINT)sectionArr->Misc.VirtualSize, (UINT)sectionArr->SizeOfRawData) / (double)nt->OptionalHeader.SectionAlignment) * nt->OptionalHeader.SectionAlignment;                        if (rva >= sectionArr->VirtualAddress && rva < (sectionArr->VirtualAddress + SizeInMemory)) {                                //找到所属的节                                //输出内存对齐后的节的大小                                //printf("SizeInMemory:%X\n", SizeInMemory);                                break;                        }                }                if (i >= nt->FileHeader.NumberOfSections) {                        //未找到                        printf("没有找到匹配的节\n");                        return -1;                }                else {                        //盘算差值= RVA - 节.VirtualAddress                        UINT offset = rva - sectionArr->VirtualAddress;                        //FOA = 节.PointerToRawData + 差值                        UINT foa = sectionArr->PointerToRawData + offset;                        //printf("foa:%X\n", foa);                        return foa;                }        }}void getBaseRelocation(_IMAGE_DOS_HEADER* dos, _IMAGE_NT_HEADERS* nt, _IMAGE_SECTION_HEADER** sectionArr) {        _IMAGE_DATA_DIRECTORY relocateDataDirectory = nt->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC];        UINT relocateAddress = VaToFoa32(relocateDataDirectory.VirtualAddress + nt->OptionalHeader.ImageBase, dos, nt, sectionArr);        _IMAGE_BASE_RELOCATION* relocateDirectory = (_IMAGE_BASE_RELOCATION*)((UINT)dos + relocateAddress);        int cnt = 0;        while (true) {                //判定是否到达结尾                if (relocateDirectory->VirtualAddress != 0 && relocateDirectory->SizeOfBlock != 0) {                        int num = (relocateDirectory->SizeOfBlock - 8) / 2;                        int i;                        for (i = 0; i < num-1; i++) {                                WORD* offset = (WORD*)((UINT)relocateDirectory+8+2*i);                                //高四位为0011即3                                if (*offset >= 0x3000) {                                        printf("base:%X\toffset:%X\n", relocateDirectory->VirtualAddress, *offset-0x3000);                                }                        }                        relocateDirectory =(_IMAGE_BASE_RELOCATION*) ((UINT)relocateDirectory + relocateDirectory->SizeOfBlock);                        cnt++;                }                else {                        break;                }        }        printf("%d\n", cnt);}int main(int argc, char* argv[]){        //创建DOS对应的结构体指针        _IMAGE_DOS_HEADER* dos;        //读取文件，返回文件句柄        HANDLE hFile = CreateFileA("C:\\Users\\lyl610abc\\Desktop\\EverEdit\\EverEdit.exe", GENERIC_READ | GENERIC_WRITE, FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, 0);        //根据文件句柄创建映射        HANDLE hMap = CreateFileMappingA(hFile, NULL, PAGE_READWRITE, 0, 0, 0);        //映射内容        LPVOID pFile = MapViewOfFile(hMap, FILE_SHARE_WRITE, 0, 0, 0);        //类型转换，用结构体的方式来读取        dos = (_IMAGE_DOS_HEADER*)pFile;        //输出dos->e_magic，以十六进制输出        printf("dos->e_magic:%X\n", dos->e_magic);        //创建指向PE文件头标志的指针        DWORD* peId;        //让PE文件头标志指针指向其对应的地址=DOS首地址+偏移        peId = (DWORD*)((UINT)dos + dos->e_lfanew);        //输出PE文件头标志，其值应为4550，否则不是PE文件        printf("peId:%X\n", *peId);        //创建指向可选PE头的第一个成员magic的指针        WORD* magic;        //让magic指针指向其对应的地址=PE文件头标志地址+PE文件头标志大小+尺度PE头大小        magic = (WORD*)((UINT)peId + sizeof(DWORD) + sizeof(_IMAGE_FILE_HEADER));        //输出magic，其值为0x10b代表32位步调，其值为0x20b代表64位步调        printf("magic:%X\n", *magic);        //根据magic判定为32位步调还是64位步调        switch (*magic) {        case IMAGE_NT_OPTIONAL_HDR32_MAGIC:        {                printf("32位步调\n");                //确定为32位步调后，就可以利用_IMAGE_NT_HEADERS来接收数据了                //创建指向PE文件头的指针                _IMAGE_NT_HEADERS* nt;                //让PE文件头指针指向其对应的地址                nt = (_IMAGE_NT_HEADERS*)peId;                printf("Machine:%X\n", nt->FileHeader.Machine);                printf("Magic:%X\n", nt->OptionalHeader.Magic);                //创建一个指针数组，该指针数组用来存储全部的节表指针                //这里相当于_IMAGE_SECTION_HEADER* sectionArr[nt->FileHeader.NumberOfSections],声明了一个动态数组                _IMAGE_SECTION_HEADER** sectionArr = (_IMAGE_SECTION_HEADER**)malloc(sizeof(_IMAGE_SECTION_HEADER*) * nt->FileHeader.NumberOfSections);                //创建指向块表的指针                _IMAGE_SECTION_HEADER* sectionHeader;                //让块表的指针指向其对应的地址                sectionHeader = (_IMAGE_SECTION_HEADER*)((UINT)nt + sizeof(_IMAGE_NT_HEADERS));                //计数，用来盘算块表地址                int cnt = 0;                //比较 计数 和 块表的个数，即遍历全部块表                while (cnt < nt->FileHeader.NumberOfSections) {                        //创建指向块表的指针                        _IMAGE_SECTION_HEADER* section;                        //让块表的指针指向其对应的地址=第一个块表地址+计数*块表的大小                        section = (_IMAGE_SECTION_HEADER*)((UINT)sectionHeader + sizeof(_IMAGE_SECTION_HEADER) * cnt);                        //将得到的块表指针存入数组                        sectionArr[cnt++] = section;                        //输出块表名称                        printf("%s\n", section->Name);                }                getBaseRelocation(dos, nt, sectionArr);                break;        }        case IMAGE_NT_OPTIONAL_HDR64_MAGIC:        {                printf("64位步调\n");                //确定为64位步调后，就可以利用_IMAGE_NT_HEADERS64来接收数据了                //创建指向PE文件头的指针                _IMAGE_NT_HEADERS64* nt;                nt = (_IMAGE_NT_HEADERS64*)peId;                printf("Machine:%X\n", nt->FileHeader.Machine);                printf("Magic:%X\n", nt->OptionalHeader.Magic);                //创建一个指针数组，该指针数组用来存储全部的节表指针                //这里相当于_IMAGE_SECTION_HEADER* sectionArr[nt->FileHeader.NumberOfSections],声明了一个动态数组                _IMAGE_SECTION_HEADER** sectionArr = (_IMAGE_SECTION_HEADER**)malloc(sizeof(_IMAGE_SECTION_HEADER*) * nt->FileHeader.NumberOfSections);                //创建指向块表的指针                _IMAGE_SECTION_HEADER* sectionHeader;                //让块表的指针指向其对应的地址，区别在于这里加上的偏移为_IMAGE_NT_HEADERS64                sectionHeader = (_IMAGE_SECTION_HEADER*)((UINT)nt + sizeof(_IMAGE_NT_HEADERS64));                //计数，用来盘算块表地址                int cnt = 0;                //比较 计数 和 块表的个数，即遍历全部块表                while (cnt < nt->FileHeader.NumberOfSections) {                        //创建指向块表的指针                        _IMAGE_SECTION_HEADER* section;                        //让块表的指针指向其对应的地址=第一个块表地址+计数*块表的大小                        section = (_IMAGE_SECTION_HEADER*)((UINT)sectionHeader + sizeof(_IMAGE_SECTION_HEADER) * cnt);                        //将得到的块表指针存入数组                        sectionArr[cnt++] = section;                        //输出块表名称                        printf("%s\n", section->Name);                }                break;        }        default:        {                printf("error!\n");                break;        }        }        return 0;}运行结果


代码阐明

剖析重定位表的代码并不多，重要在于掌握了结构之后知道其边界和数据含义，就可以通过指针找到对应位置输出即可
总结

• 重定位表只有在代码的位置发生移动时才有效
  
• 重定位表是为了解决代码重定位的题目而设计的，而重定位表块则是为了节流空间而设计的
  
• 重定位表块的划分原理在于内存分页
  

附件

附上本笔记中分析的EverEdit文件：点我下载

来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！