星綻紫輝(rawdata)的Blog

快樂(lè)地學(xué)習(xí)，快樂(lè)地工作！

C++博客 :: 首頁(yè) :: 聯(lián)系 :: 聚合

:: 管理

16 Posts :: 0 Stories :: 37 Comments :: 0 Trackbacks

常用鏈接

留言簿(5)

我參與的團(tuán)隊(duì)

隨筆檔案(16)

精品文章

Windows XP系統(tǒng)中如何屏蔽 Ctrl+Alt+Del、Alt+Tab以及Ctrl+Esc鍵序列

喜好鏈接

CCTV
谷歌搜索
我的藍(lán)月博客
中鳴機(jī)器人

搜索

閱讀排行榜

     原創(chuàng)：星綻紫輝 2009-1-4     轉(zhuǎn)載請(qǐng)注明出處: http://m.shnenglu.com/rawdata

      RVA(reverse virtual address) 和 VA 地址的概念我就不說(shuō)了，網(wǎng)上一大堆，就看你有沒有心去找了。在解析PE文件格式時(shí)，需要將RVA地址轉(zhuǎn)化成VA地址，才能對(duì)如:IMAGE_IMPORT_DESCRIPTOR類的結(jié)構(gòu)進(jìn)行正確訪問(wèn)。這樣，exe/dll等導(dǎo)出的函數(shù)和導(dǎo)入的函數(shù)等重要信息你就可以獲得了。

      我寫的這段函數(shù)是參考羅云彬的匯編主頁(yè)上的PE文件格式的匯編代碼，是由GuFeng翻譯 Iczelion的,現(xiàn)在我寫成C/C++的形式,以供參考。

//RVA To Offset

DWORD CPEReaderDlg::RVAToOffset(DWORD pMapping,DWORD dwRVA)

{

//Defines

DWORD pNTDst = 0;

IMAGE_DOS_HEADER* pidh = (IMAGE_DOS_HEADER*)pMapping;

pNTDst = pMapping + pidh->e_lfanew;

DWORD pSeDst = pNTDst;

IMAGE_NT_HEADERS* pinh = (IMAGE_NT_HEADERS*)pNTDst;

IMAGE_SECTION_HEADER* pish = NULL;

//First Session

pSeDst = pNTDst + sizeof(IMAGE_NT_HEADERS);

pish = (IMAGE_SECTION_HEADER*)pSeDst;

//Session Count

UINT nCount = pinh->FileHeader.NumberOfSections;

DWORD dwPosTmp = 0;

//Scan

for(UINT i=0;i<nCount;i++)

{

if(dwRVA>=pish->VirtualAddress)

{

dwPosTmp = pish->VirtualAddress;

dwPosTmp += pish->SizeOfRawData;

}

if(dwRVA<dwPosTmp)

{

dwRVA = dwRVA - pish->VirtualAddress;

return dwRVA + pish->PointerToRawData;

}

pish = pish + 1;//sizeof(IMAGE_SECTION_HEADER);

}

return -1;

}

      其中的pMapping 是目標(biāo)exe/dll文件的內(nèi)存映像指針，由(MapViewOfFile返回),dwRVA為相對(duì)地址，返回的是該P(yáng)E程序在內(nèi)存的對(duì)應(yīng)dwRVA的偏移地址，得到VA就很簡(jiǎn)單了：VA = pMapping + 返回值. (返回-1標(biāo)識(shí)無(wú)效.)

      如果代碼有什么謬誤或者待完善的地方，請(qǐng)留言或EmailToMe:xiaolu69soft@yahoo.com.cn.

      2009-1-4   星綻紫輝(rawdata)

posted on 2009-01-04 12:41 星綻紫輝閱讀(2449) 評(píng)論(1) 編輯收藏引用

Feedback

# re: 將RVA(相對(duì)虛擬地址)地址轉(zhuǎn)化成Offset VA(偏移地址) 2012-03-03 16:18 憑凡 fire_the_hole@163.com

NICE，我直接復(fù)制走了~~~謝謝哈回復(fù) 更多評(píng)論

刷新評(píng)論列表

只有注冊(cè)用戶登錄后才能發(fā)表評(píng)論。
【推薦】100%開源！大型工業(yè)跨平臺(tái)軟件C++源碼提供，建模，組態(tài)！



網(wǎng)站導(dǎo)航: 博客園 IT新聞 BlogJava 博問(wèn) Chat2DB 管理