博客

PE重定位基本原理

(很简洁

• 找到所有硬编码的地址
• 每个地址减去ImageBase
• 加上装载的实际地址

主要是查找硬编码地址, 是由重定位表relocation table提供每个硬编码的偏移. 也就是基址重定位表.

Base_Relocation_Table

记录在PE头的DataDirectory数组的第六个元素.

该表是由IMAGE_BASE_RELOCATION结构体组成的, 结构体记录了硬编码地址的偏移.

IMAGE_BASE_RELOCATION结构体

结构体由VirtualAddress, SizeOfBlock组成, 分别表示基准地址, 块大小.

之后被注释掉的是偏移数组的每个元素的大小, 即WORD, 16位. 该数组每个元素16位, 前4位是Type, 后12位是偏移. 重定位过程就是遍历TypeOffset数组, 取出后12位的偏移量加上基准地址VirtualAddress, 得到RVA(完成重定位的第一步, 找到硬编码地址)

之后就是减去ImageBase, 加上实际加载地址, 得到内存中的VA实现硬编码的重定位.(第二三步)

遍历每一个基址重定位表中的IMAGE_BASE_RELOCATION结构体, 每个结构体遍历TypeOffset数组(直到碰到Type == 0), 实现全部硬编码的重定位.