2.7PE结构：重定位表详细解析-6ren

2.7PE结构：重定位表详细解析

转载作者：我是一只小鸟更新时间：2023-09-07 22:52:03

重定位表（Relocation Table）是Windows PE可执行文件中的一部分，主要记录了与地址相关的信息，它在程序加载和运行时被用来修改程序代码中的地址的值，因为程序在不同的内存地址中加载时，程序中使用到的地址也会受到影响，因此需要重定位表这个数据结构来完成这些地址值的修正.

当程序需要被加载到不同的内存地址时，相关的地址值需要进行修正，否则程序运行会出现异常。而重定位表就是记录了在程序加载时需要修正的地址值的相关信息，包括修正地址的位置、需要修正的字节数、需要修正的地址的类型等。重定位表中的每个记录都称为一项（entry），每个entry包含了需要修正的地址值的详细信息，通常是以可变长度数据的形式存储在一个或多个叫做重定位块（relocation block）的数据结构中.

解析重定位表需要通过 PIMAGE_BASE_RELOCATION 这个关键结构体来实现， PIMAGE_BASE_RELOCATION 是一个指向重定位表（Relocation Table）的指针类型，它是Windows PE可执行文件中用于支持动态基地址重定位（Dynamic Base Relocation）的结构体类型。在2GB以上的虚拟地址下，Windows使用了 Dynamic Base Relocation 技术来提高系统的安全性， PIMAGE_BASE_RELOCATION 就是在这种情况下使用的.

由于Windows系统中DLL文件并不能每次都能加载到预设的基址上，因此基址重定位主要应用于DLL文件中，通常涉及到直接寻址的指令就需要重定位，重定位信息是在编译时，由编译器生成并被保存在可执行文件中的，在程序被执行前，由操作系统根据重定位信息修正代码，这样在开发程序的时候就不用了考虑重定位问题了，我们还是使用上面的这段汇编代码.

                        
                          00D21000 | 6A 00              | push 0x0                            |
00D21002 | 68 0030D200        | push main.D23000                    |  
00D21007 | 68 0730D200        | push main.D23007                    |  
00D2100C | 6A 00              | push 0x0                            |
00D2100E | E8 07000000        | call <JMP.0x00D2101A>               | call MessageBox
00D21013 | 6A 00              | push 0x0                            |
00D21015 | E8 06000000        | call <JMP.0x00D21020>               | call ExitProcess
00801017 | CC                 | int3                                |
00D2101A | FF25 0820D200      | jmp dword ptr ds:[<&0x00D22008>]    | 导入函数地址
00D21020 | FF25 0020D200      | jmp dword ptr ds:[<&0x00D22000>]    | 导入函数地址

如上 jmp dword ptr ds:[<&0x00D22008>] 这段代码就是一句需要重定位的代码，当程序的基地址位于 0x00D20000 时，这段代码中的函数可以被正常调用，但有时程序会开启基址随机化，或DLL被动态装载等问题，此时基地址可能会发生变化，那么上面的汇编指令调用就会失效，这就意味着这些地址需要被修正.

此时我们假设程序基址变为了 0x400000 ,那么 jmp dword ptr ds:[<&0x00D22008>] 这条指令就需要被修正，修正算法可以描述为，将直接寻址指令中的地址加上模块实际装入地址与模块建议装入地址之差，为了进行运算需要3个数据，首先是需要修正机器码地址，其次是模块建议装入地址，最后是模块的实际装入地址.

在这3个数据中，模块的建议装入地址已经在PE文件头中定义了，而模块的实际装入地址时Windows装载器在装载文件时确定的，事实上PE文件重定位表中保存的仅仅只是，一大堆需要修正的代码的地址.

重定位表IMAGE_BASE_RELOCATION解析。

重定位表会被单独存放在 .reloc 命名的节中，重定位表的位置和大小可以从数据目录中的第6个 IMAGE_DATA_DIRECTORY 结构中获取到，该表的组织方式时以 0x1000 页为一块，每一块负责一页，从PE文件头获取到重定位表地址后，就可以顺序读取到所有表结构，每个重定位块以一个 IMAGE_BASE_RELOCATION 结构开头，后面跟着在本页中使用的所有重定位项，每个重定位项占用16字节，最后一个节点是一个使用0填充的 _IMAGE_BASE_RELOCATION 标志表的结束，其结构如下所示

                        
                          typedef struct _IMAGE_BASE_RELOCATION
{   
    DWORD   VirtualAddress;                      // 需重定位数据的起始RVA   
    DWORD   SizeOfBlock;                         // 本结构与TypeOffset总大小 
    WORD    TypeOffset[1];                       // 原则上不属于本结构 
} IMAGE_BASE_RELOCATION; typedef  IMAGE_BASE_RELOCATION UNALIGNED IMAGE_BASE_RELOCATION;

TypeOﬀset的元素个数 = （SizeOfBlock - 8 ）/ 2 TypeOﬀset的每个元素都是一个自定义类型结构。

                        
                          struct
{
    WORD Offset:12;  // 大小为12Bit的重定位偏移 
    WORD Type  :4;   // 大小为4Bit的重定位信息类型值 
}TypeOffset;         // 这个结构体是A1Pass总结的

PIMAGE_BASE_RELOCATION指针指向PE文件中的重定位表（Relocation Table）的起始地址，重定位表是一个可变长度的数据结构，其中包含了一组以4个字节为单位的记录，每个记录表示一个需要修正的地址及其操作类型.

                        
                          typedef struct _IMAGE_BASE_RELOCATION
{
    DWORD   VirtualAddress;
    DWORD   SizeOfBlock;
//  WORD    TypeOffset[1];
} IMAGE_BASE_RELOCATION;
typedef IMAGE_BASE_RELOCATION UNALIGNED * PIMAGE_BASE_RELOCATION;

每个重定位表项（Relocation Table Entry）包括两部分：前16位表示需要修正的地址的偏移量（Offset），后16位则表示需要对该地址进行什么样的修正操作（Relocation Type）。普通的重定位项类型有如下几种:

IMAGE_REL_BASED_ABSOLUTE：表示不需要进行任何修正；
IMAGE_REL_BASED_HIGHLOW：表示需要将地址中的低16位和高16位分别进行修正；
IMAGE_REL_BASED_DIR64：表示需要对64位指针进行修正；

当读者需要遍历这个表时，首先可以通过 NtHeader->OptionalHeader.DataDirectory[5].VirtualAddress 获取到重定位表的相对信息，并通过 (PIMAGE_BASE_RELOCATION)(GlobalFileBase + RVAtoFOA(RelocRVA)) 得到重定位表的FOA文件地址，在 Reloc->SizeOfBlock 变量内获取到重定位块，并循环输出则可实现枚举所有重定位块；。

                        
                          // --------------------------------------------------
// 重定位表解析结构体
// --------------------------------------------------
struct TypeOffset
{
    WORD Offset : 12;       // 低12位代表重定位地址
    WORD Type : 4;          // 高4位代表重定位类型
};

int main(int argc, char * argv[])
{
    BOOL PE = IsPeFile(OpenPeFile("c://pe/x86.exe"), 0);

    if (PE == TRUE)
    {
        // 1.拿到映像基地址
        DWORD base = NtHeader->OptionalHeader.ImageBase;

        // 2.获取重定位表的RVA 相对偏移
        DWORD RelocRVA = NtHeader->OptionalHeader.DataDirectory[5].VirtualAddress;

        // 3.获取重定位表FOA
        auto Reloc = (PIMAGE_BASE_RELOCATION)(GlobalFileBase + RVAtoFOA(RelocRVA));

        printf("映像基址: %08X 虚拟偏移: %08X 重定位表基址: %08X \n", base, RelocRVA, Reloc);

        // 4.遍历重定位表中的重定位块,以0结尾
        while (Reloc->SizeOfBlock != 0)
        {
            // 计算出重定位项个数 \ 2 = 重定位项的个数，原因是重定位项的大小为2字节
            DWORD Size = (Reloc->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) / 2;

            // 输出VirtualAddress分页基址 与SizeOfBlock重定位块长度
            printf("起始RVA: %08X \t 块长度: %04d \t 重定位个数: %04d \n", Reloc->VirtualAddress, Reloc->SizeOfBlock, Size);

            // 找到下一个重定位块
            Reloc = (PIMAGE_BASE_RELOCATION)((DWORD)Reloc + Reloc->SizeOfBlock);
        }
    }
    else
    {
        printf("非标准程序 \n");
    }

    system("pause");
    return 0;
}

编译并运行上述代码片段，则读者可以看到当前程序内所具备的重定位块及该块的内存地址，输出效果图如下所示；。

上图中我们得到了 0x905a4d00 这个内存地址，该内存地址代表的则是重定位表中一个块的基址，如果我们需要得到该基址内的其他重定位信息，则需要进一步遍历，这个遍历过程只需要更加细化将如上代码片段进行更改，增加更加细致的枚举过程即可，更改后的代码片段如下所示；。

                        
                          // --------------------------------------------------
// 传入一个十六进制字符串，将其自动转化为十进制格式：例如传入40158b转为4199819
// --------------------------------------------------
int HexStringToDec(char hexStr[])
{
    int i, m, n, temp = 0;

    // 循环读入每一个十六进制数
    m = strlen(hexStr);
    for (i = 0; i < m; i++)
    {
        // 十六进制还要判断他是不是在A-F或0-9之间的数
        if (hexStr[i] >= 'A' && hexStr[i] <= 'F')
            n = hexStr[i] - 'A' + 10;
        else if (hexStr[i] >= 'a' && hexStr[i] <= 'f')
            n = hexStr[i] - 'a' + 10;
        else n = hexStr[i] - '0';
        // 将数据加起来
        temp = temp * 16 + n;
    }
    return temp;
}

int main(int argc, char * argv[])
{
    BOOL PE = IsPeFile(OpenPeFile("c://pe/x86.exe"), 0);
    char * GetRva = "0x905a4d00";

    if (PE == TRUE)
    {
        DWORD base = NtHeader->OptionalHeader.ImageBase;

        // 1. 获取重定位表的 rva
        DWORD RelocRVA = NtHeader->OptionalHeader.DataDirectory[5].VirtualAddress;

        // 2. 获取重定位表
        auto Reloc = (PIMAGE_BASE_RELOCATION)(GlobalFileBase + RVAtoFOA(RelocRVA));

        printf("起始RVA \t 类型 \t 重定位RVA \t 重定位地址 \t 修正RVA \n");

        // 起始RVA:% 08X-- > 类型:% d-- > 重定位RVA:% 08X-- > 重定位地址:% 08X 修正RVA : % 08X

        // 3. 遍历重定位表中的重定位块，以0结尾
        while (Reloc->SizeOfBlock != 0)
        {
            // 3.2 找到重定位项
            auto Offset = (TypeOffset*)(Reloc + 1);

            // 3.3 计算重定位项的个数
            DWORD Size = (Reloc->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) / 2;

            // 3.4 遍历所有的重定位项
            for (DWORD i = 0; i < Size; ++i)
            {
                // 获取重定位类型，只关心为3的类型
                DWORD Type = Offset[i].Type;

                // 获取重定位的偏移值
                DWORD pianyi = Offset[i].Offset;

                // 获取要重定位的地址所在的RVA： offset+virtualaddress
                DWORD rva = pianyi + Reloc->VirtualAddress;

                // 获取要重定位的地址所在的FOA
                DWORD foa = RVAtoFOA(rva);

                // 获取要重定位的地址所在的fa
                DWORD fa = foa + GlobalFileBase;

                // 获取要重定位的地址
                DWORD addr = *(DWORD*)fa;

                // 计算重定位后的数据: addr - oldbase + newbase
                DWORD new_addr = addr - base;

                // 如果传入了数值，则说明要遍历特定的重定位表项
                if (Reloc->VirtualAddress == HexStringToDec(GetRva))
                {
                    printf("%08X \t %d \t %08X \t %08X \t%08X \n", Reloc->VirtualAddress, Type, rva, addr, new_addr);
                }
                // 否则如果不传参数，则默认遍历全部RVA
                else if (strcmp(GetRva, "all") == 0)
                {
                    printf("%08X \t %d \t %08X \t %08X \t%08X \n", Reloc->VirtualAddress, Type, rva, addr, new_addr);
                }
            }
            // 找到下一个重定位块
            Reloc = (PIMAGE_BASE_RELOCATION)((DWORD)Reloc + Reloc->SizeOfBlock);
        }
    }
    else
    {
        printf("非标准程序 \n");
    }

    system("pause");
    return 0;
}

当读者运行这段程序，则会输出 0x905a4d00 这段内存地址中所具有的所有重定位信息，输出效果图如下图所示；。

最后此篇关于2.7PE结构：重定位表详细解析的文章就讲到这里了,如果你想了解更多关于2.7PE结构：重定位表详细解析的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！。

文章推荐：聊聊预训练模型的微调

文章推荐： K8s多集群实践思考和探索

文章推荐： Nomad系列-Nomad挂载存储卷

文章推荐： Java程序员学vue3最好的方式就是搭建后台管理模板

.net - PE Headers 的哪个字段表明 PE 文件是否有效？
我需要验证给定的二进制文件是否是 PE 文件(例如，如果我将 JS/HTML 或 .class 文件重命名为 .exe 或 .dll)，它不会仍然是 PE 文件。解析 PE 文件会给我关于这个问题的信
c++ - 通过 PE header 找出 PE 文件的结束位置？
我想将一些二进制数据附加到我的可执行文件的末尾。这只是为了使我的程序成为一个文件。我尝试使用 UpdateResource 但我用我的特定数据在其中遇到了一些错误，所以我必须使用其他解决方案。所以我需
gcc - MinGW 的 ld 无法对非 PE 输出文件执行 PE 操作
我知道还有其他一些类似的问题，无论是否是 StackOverflow。我为此研究了很多，但仍然没有找到单一的解决方案。我正在做一个操作系统作为一个副项目。我一直在做汇编，但现在我想加入 C 代码。
windows - 指向 PE 文件中偏移量 0x3c 处的 PE header 的指针是否始终设置为 0x80？
Is the pointer to the PE-header at offset 0x3c in the PE-file always set to 0x80? 我想知道为什么这个指针会改变。我猜
c - ld: cannot perform PE operations on non PE output file 错误
我是操作系统编程的新手，我正在阅读一本书，其中给出了一个简单的内核示例，如下所示: main() { char *video_memory = 0xb8000; *video_memory
header - PE 最多可以有多少个部分？
我正在用 C# 编写程序，在其中读取 PE 的字节。但是为了获得 RVA，我需要使用部分标题。我想知道节标题的最大数量是多少？我试过谷歌，我看过这里，但我没有找到任何可以指向正确方向的东西谢谢。
assembly - PE 二进制文件中的部分名称真的有限制吗？
一个awesome article关于PE格式说明如下: Name. Each section header has a name field up to eight characters long,
c++ - PE 文件格式部分附加
我对他们为什么在这里使用 - 1 感到困惑。有人可以解释这条线在非常非常非常低级别的详细信息中所做的事情......不是它的减法 1 结构......我需要了解更多......关于低级别......谢
c++ - 从内存运行x64 PE
我可以成功地在内存中加载并运行x32 pe，但是当我调整变量使其与x64可执行文件一起使用时，该程序将无休止地启动其自身的数千个副本，直到您杀死该程序或耗尽内存，而不是从内存启动pe。我已经进行了尽
c - 如何在运行时写入可移植可执行文件(PE)？
关闭。这个问题不符合Stack Overflow guidelines .它目前不接受答案。要求提供代码的问题必须表现出对所解决问题的最低限度理解。包括尝试过的解决方案、为什么它们不起作用，以及预
windows - PE 目录的名称
我正在研究 PE 解析器，遇到了一些非常不寻常的事情。 PE 格式中目录的名称和顺序似乎因您查看的位置而异: 来自 PEReader (perdr) : #define IMAGE_DIRECTORY
windows - PE-从功能导出中区分数据
我试图在IDA中找出一种方法，哪些导出是数据导出，哪些是实函数导出。例如，让我们看一下Microsoft的msftedit.dll的导出条目: 虽然CreateTextServices是真正的导出函
Windows PE 资源
有很多Windows PE 资源查看器程序。但它们是如何工作的？他们是否解码对 winapi 的函数调用，或者 PE 是否有一些 GUI 信息部分？就像 Android 有 XML GUI 定义一样？
windows - PE 文件中的重复导入条目
我正在对 PE 文件进行一些批量分析，在解析 PE 文件的导入表时，我发现许多 PE 文件为给定的 DLL 导入了重复的条目...这是为什么？这在功能上提供了什么？例如，example.exe 导入
Windows PE 确定入口点虚拟地址
我正在使用“PE 编辑器”检查 Windows 可执行文件，它显示入口点为 0x15B8，我们如何确定该入口点的地址为虚拟地址？最佳答案入口点是相对于模块的加载地址存储的。模块可以通过设置 IM
windows - PE 文件节名
根据这篇文章http://msdn.microsoft.com/en-us/library/ms809762.aspx?ppud=4 我们可以用自定义名称命名 PE 部分。所以在一个 PE 文件中，
windows - PE 加载器不加载哪些部分？
PE 加载器是否完全加载了任何部分？或者是否加载了节标题中指定的每个节？在 ELF 程序中，应该加载的节头(称为程序头或段)是那些用 PT_LOAD 标记的。 PE项目中有类似的东西吗？附言。我找
c++ - PE 导出表中没有功能的条目
我查看了特定 DLL 的导出表，我在表中看到了一些奇怪的条目，所以我试图在 pecoff 规范中找到这个问题的答案，但没有找到任何答案，我希望有人可能有。我在某个 DLL (Qt5Core.dll)
winapi - 为什么我的 PE 文件无效？
我已经问过类似的问题，"PE Header requirements" ，但我对它的答案并不满意。我正在用 Java SE 1.6 构建一个汇编器/链接器。我已经阅读了大约 5 个关于 PE/COF
c - 如何巧妙地修改 PE 数据部分
我正在“C/C++ - Win32API”环境中编写一个 dll。我有一些常量变量(都是 DWORD 值和 LPWSTR/LPSTR 字符串)，我必须启用用户修改。我正在寻找的是(希望)一种工具，

我是一只小鸟

个人简介

我是一名优秀的程序员,十分优秀！

作者热门文章

滴滴打车优惠券免费领取

全站热门文章

首页

博学

6Ren·AI

商城

2.7PE结构：重定位表详细解析