image - 来自高级 Hook /注入(inject)库 : explanation needed 的单元中的 {$IMAGEBASE $13140000} 指令

Question

到目前为止我所做的事情:

我在AfxCodeHook.pas中找到了它由 Aphex 提供的单位。

我还使用它浏览了一堆有趣的示例代码:

• Inject Library (如何将DLL注入(inject)另一个进程)。
• Inject Library Ex (如何使用Ex方法将DLL注入(inject)到另一个进程中)。
• Create Process Ex (如何使用Ex方法将DLL注入(inject)到创建的进程中)。
• Inject Executable (InjectLibraryEx 的真正威力:注入(inject) EXE 文件的能力)。
• Simple Api Hooking (如何使用 afxcodehook 操作对 Windows api 的调用)。

我还读过:

• Embarcadero 的 RAD Studio 帮助条目 Image base address和
• Base address维基百科页面。

<小时/>

问题:

我寻求经验丰富的 Delphi 编码人员对外行术语中的 {$IMAGEBASE $13140000} 指令的知情意见和简单解释。

Answer 1

这指定了 DLL 的首选基地址。如果 DLL 可以在这个地址加载，那么加载器就会这样做。如果不能，则需要重新定位，并且DLL中的所有绝对跳转都需要调整到新地址。

当加载程序尝试将 DLL 映射到进程地址空间时，它首先读取首选基地址。然后计算出 DLL 的大小。最后，它检查是否可以找到从基地址延伸到基地址+大小的连续内存块。如果是这样，则 DLL 将加载到首选基地址。如果另一个 DLL 或 exe 驻留在首选基地址，则需要重新定位该 DLL。如果应用程序保留了与首选 DLL 加载地址空间重叠的堆内存，则需要重新定位 DLL。

如果 DLL 需要重新定位，则其物理页不能在进程之间共享。 Windows 系统 DLL 仔细选择了基地址，以确保不发生冲突并且可以共享。

现在，Address Space Layout Randomization (ASLR)让事情变得更加复杂。

您可以从这些文章中了解更多信息:

• Dr. Dobbs: Rebasing Win32 DLLs
• Peering Inside the PE: A Tour of the Win32 Portable Executable File Format