PE文件格式--------------重定位

朴灿烈づ我的快乐病毒、 2021-11-17 09:08 426阅读 0赞

一、关于重定位

1、直接寻址指令需要重定位。如：mov eax, dword ptr \[4000c0h\]

注意：call 401000h 是相对寻址，不需要重定位。

请问 call \[401000h\]需要重定位吗？

2、重定位需要的信息：重定位地址、实际装载地址、建议装载地址。

二、重定位数据结构

IMAGE\_ BASE\_RELOCATION struct

VirtualAddress dd ;重定位内存页首地址RVA

SizeOfBlock dd ;重定位块大小，包含本结构在内的大小

IMAGE\_BASE\_RELOCATION ends

1、该结构后面紧跟的是word型的重定位项。

2、重定位地址的 RVA = VirtualAddress + word型重定位项的低12位

3、word行重定位项的高4位表示重定位类型，一般常见的值为0和3

<table> 
 <tbody> 
 <tr> 
 <td>高4位值</td> 
 <td>常量表示</td> 
 <td>含义</td> 
 </tr> 
 <tr> 
 <td>0</td> 
 <td>IMAGE_REL_BASED_ABSOLUTE</td> 
 <td>使块按照32位对齐，位置为0</td> 
 </tr> 
 <tr> 
 <td>1</td> 
 <td>IMAGE_REL_BASED_HIGH</td> 
 <td>高16位必须应用于偏移量所指高字16位</td> 
 </tr> 
 <tr> 
 <td>2</td> 
 <td>IMAGE_REL_BASED_LOW</td> 
 <td>低16位必须应用于偏移量所指低字16位</td> 
 </tr> 
 <tr> 
 <td>3</td> 
 <td>IMAGE_REL_BASED_HIGHLOW</td> 
 <td>全部32位应用于所有32位</td> 
 </tr> 
 <tr> 
 <td>4</td> 
 <td>IMAGE_REL_BASED_HIGHADJ</td> 
 <td>需要32位，高16位位于偏移量，低16位位于下一个偏移量数组元素，组合为一个带符号数，加上32位的一个数，然后加上8000然后把高16位保存在偏移量的16位域内</td> 
 </tr> 
 <tr> 
 <td>5</td> 
 <td>IMAGE_REL_BASED_MIPS_JMPADDR</td> 
 <td>资料不详</td> 
 </tr> 
 <tr> 
 <td>6</td> 
 <td>IMAGE_REL_BASED_SECTION</td> 
 <td>资料不详</td> 
 </tr> 
 <tr> 
 <td>7</td> 
 <td>IMAGE_REL_BASED_REL32</td> 
 <td>资料不详</td> 
 </tr> 
 </tbody> 
</table>

4、重定位项数 = (SizeOfBlock - 4 - 4) / 2

5、重定位块结束，以IMAGE\_BASE\_RELOCATION结构的VirtualAddress值为0结束。因此若映像加载00400000h，则代码加载地址为00401000h

6、示例：

（1）运行界面

![2012051111121670.jpg][]

（2）代码processpefile\_reloc.asm

;======================  
;pe文件重定位表  
;by 紫陌  
;======================  
;======================  
;数据段  
;======================  
.data?

.const  
szErrNon db '没有重定位信息', 0  
szBaseReloc db '重定位首地址:%08X 重定位大小:%08X', 0dh, 0ah, 0  
szTitleBlock db '================重定位块(%08X)(累计大小%08X)=============', 0dh, 0ah, 0  
szBlock db '重定位内存页首地址(%08X):%08X', 0dh, 0ah  
db '重定位块大小(%08X):%08X', 0dh, 0ah, 0  
szEntry db '重定位项(%08X):%04X', 0dh, 0ah, 0

;======================  
;代码段  
;======================  
.code

\_ProcessPeFile\_Reloc proc \_lpImageBase  
local @szBuf\[512\]:BYTE  
local @dwRelocSize:DWORD  
local @dwEntryNum:DWORD  
local @dwTotalSize:DWORD  
  
pushad  
  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;从数据目录取重定位首地址和大小  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
mov edi, \_lpImageBase  
assume edi:ptr IMAGE\_DOS\_HEADER  
add edi, \[edi\].e\_lfanew  
assume edi:ptr IMAGE\_NT\_HEADERS  
mov ecx, \[edi\].OptionalHeader.DataDirectory\[IMAGE\_DIRECTORY\_ENTRY\_BASERELOC \* sizeof IMAGE\_DATA\_DIRECTORY\].isize  
mov @dwRelocSize, ecx  
mov edi, \[edi\].OptionalHeader.DataDirectory\[IMAGE\_DIRECTORY\_ENTRY\_BASERELOC \* sizeof IMAGE\_DATA\_DIRECTORY\].VirtualAddress  
.if !edi  
invoke lstrcpy, addr szShowMsg, addr szErrNon  
invoke SetWindowText, hRichEdit, addr szShowMsg  
jmp \_overpos  
.endif  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;将RVA转为文件偏移  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
invoke \_RvaToOffset, \_lpImageBase, edi  
add eax, \_lpImageBase  
mov edi, eax  
assume edi:ptr IMAGE\_BASE\_RELOCATION  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;显示重定位首地址和大小  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
invoke wsprintf, addr @szBuf, addr szBaseReloc, edi, @dwRelocSize  
invoke lstrcpy, addr szShowMsg, addr @szBuf  
invoke SetWindowText, hRichEdit, addr szShowMsg  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;循环显示重定位块  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
mov @dwTotalSize, 0  
.while TRUE  
.break .if \[edi\].VirtualAddress == 0  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;重定位块累计大小  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
mov ecx, @dwTotalSize  
add ecx, \[edi\].SizeOfBlock  
mov @dwTotalSize, ecx  
invoke wsprintf, addr @szBuf, addr szTitleBlock, edi, @dwTotalSize  
invoke lstrcat, addr szShowMsg, addr @szBuf  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;重定位头  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
invoke wsprintf, addr @szBuf, addr szBlock, \\  
addr \[edi\].VirtualAddress, \[edi\].VirtualAddress, \\  
addr \[edi\].SizeOfBlock, \[edi\].SizeOfBlock  
invoke lstrcat, addr szShowMsg, addr @szBuf  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;重定位项  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
mov ecx, \[edi\].SizeOfBlock  
sub ecx, 8  
shr ecx, 1  
mov @dwEntryNum, ecx  
mov esi, edi  
sub esi, 8  
.while ecx  
mov @dwEntryNum, ecx  
lodsw  
movzx eax, ax  
invoke wsprintf, addr @szBuf, addr szEntry, esi, eax  
invoke lstrcat, addr szShowMsg, addr @szBuf  
mov ecx, @dwEntryNum  
dec ecx  
.endw  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;显示重定位块  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
invoke SetWindowText, hRichEdit, addr szShowMsg  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
;取下一个重定位块  
;\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
; mov ecx, @dwRelocSize  
; sub ecx, \[edi\].SizeOfBlock  
; mov @dwRelocSize, ecx  
add edi, \[edi\].SizeOfBlock  
.endw  
\_overpos:  
assume edi:nothing  
popad  
ret

\_ProcessPeFile\_Reloc endp

转载于:https://www.cnblogs.com/guanlaiy/archive/2012/05/10/2493672.html

[2012051111121670.jpg]: /images/20211116/b5bc8e71954c4d939a5639b31ac26546.png