PE

    技术2022-05-20  53

    PE里面常见的术语:

    RVA :relative virtual address 相对虚拟地址,是相对于PE文件的装载基地址的一个偏移地址.

     

     

    基地址: BASE address,PE文件装载时候都有一个装载目标地址(Targe Address)

    而RVA就是基于BASE address 相对地址

     

     

    装载一个PE可执行文件的过程:

    1.读取文件的第一个页,获取dos 头,PE的文件头,段表

    2.检查进程地址空间,目标地址是否可用,如果不可用,则另外选一个装载地址。

    3.使用段表中提供的信息,将PE文件中所有的段一一映射到地址空间中相应的位置。

    4.如果装载地址不是目标地址,则进行Rebasing

    5.装载所有PE文件所需要的DLL文件。

    6.对PE文件中所有导入符号进行解析。

    7.根据PE头中指定的参数,建立初始化栈和堆

    8.建立主线程并启动进程。

     

    常识:

    PE文件的优先装载地址是0x00400000(虚拟空间的地址)

    DLL文件的优先装载地址是0x10000000

     

    address of entrypoint:

    为PE文件的第一个指令的RVA.

     

    在内存中的对齐粒度: 4096 bytes

    在32位的PE文件中,段的起始地址和长度都是4096字节的整数倍,无需像ELF考虑段地址对齐之类的问题,但这样也会浪费磁盘和内存空间,但是PE文件的段也格外的少。

     


    最新回复(0)