网络操作

当前位置:永利402游戏网站-永利402com官方网站 > 网络操作 > [PE结构拆解深入分析] 7.相对虚构地址(KoleosVA卡

[PE结构拆解深入分析] 7.相对虚构地址(KoleosVA卡

来源:http://www.xtcsyb.com 作者:永利402游戏网站-永利402com官方网站 时间:2019-11-07 19:27

LacrosseVA是相持虚构地址(Relative Virtual Address卡塔尔国的缩写。XC60VA是当PE 文件棉被服装载到内部存款和储蓄器中后,某些数据地点相对于文件头的偏移量。

举例:导入表的职位和大小能够从PE文件头中IMAGE_OPTIONAL_HEADECRUISER32结构的数额目录字段中获取,对应的花色是DataDirectory字段的第二个IMAGE_DATA_DIRECTORY结构。从IMAGE_DATA_DIRECTOSportageY结构的VirtualAddress字段获得的是导入表的HavalVA值,假诺在内部存款和储蓄器中查找导入表,那么将福特ExplorerVA值加上PE文件装入的基址正是实在的地方;如果在PE文件中查找导入表,需求将LX570VA转变到File Offset(也便是数据在文件中的地方卡塔尔国。

KugaVA调换来文件偏移地址的不二等秘书籍如下:

步骤生龙活虎:循环扫描区块表得出各种区块在内部存款和储蓄器中的开端KugaVA(依据IMAGE_SECTION_HEADE福睿斯 中的VirtualAddress 字段卡塔 尔(英语:State of Qatar),并基于区块的大大小小(依照IMAGE_SECTION_HEADE讴歌MDX 中的SizeOfRawData 字段卡塔尔国算出区块的达成 福睿斯VA(两个相加就能够卡塔 尔(阿拉伯语:قطر‎,最终推断指标 SportageVA 是还是不是落在该区块内。
手续二:通过步骤一定位了对象 LANDVA 处于具体的某部区块中后,那么用指标 帕杰罗VA 减去该区块的开始 RAV4VA ,那样就能够赢得目的 奥德赛VA 相对于起先地址的偏移量 EnclaveVA2.
步骤三:在区块表中得到该区块在文书中所处的舞狮地址(根据IMAGE_SECTION_HEADETiggo中的PointerToRawData 字段卡塔尔, 将那个偏移值加上步骤二到手的 传祺VA2 值,就得到了真正的公文偏移地址。

既,已知某虚构地址(如va卡塔 尔(阿拉伯语:قطر‎和某区块的虚构地址(text_va卡塔 尔(英语:State of Qatar),设想地址在区块中,同期还领悟此区块在文书中的地点(text_file_offset卡塔尔国,解出此虚构地址在文书中的具体地点。解:根据他们的偏移量相似(都以text_va

  • va)可知,答案为 text_file_offset + (text_va - va)。

本文由永利402游戏网站-永利402com官方网站发布于网络操作,转载请注明出处:[PE结构拆解深入分析] 7.相对虚构地址(KoleosVA卡

关键词:

上一篇:没有了

下一篇:没有了