锐客网

  1. 首页 > 睿知 > >

pe 基址重定位 分析

经验分享睿知

Esp是一个寄存器，地址存储在寄存器中 。jm pesp跳转到寄存器中存储的这个地址，所以地址当然是动态的，那么怎么固定呢？并不是汇编指令人为设置地址，而是因为dll镜像基址是固定的，所以特定函数的地址是固定的，因为函数的地址是固定的，函数的内容是固定的，所以函数中特定指令的地址也是固定的 。

1、占位程序简单是什么相对虚拟地址在可执行文件中，很多地方需要在内存中分配一个地址 。例如，当使用一个全局变量时 ， 你需要它的地址 。PE文件可以加载到进程地址空间的任何地方 。尽管它有一个首选的地址，但是你不能依赖可执行文件被加载到那个地址 。因此，有必要以某种方式指定地址，使其不依赖于可执行文件的加载地址 。为了避免在PE文件中硬编码内存地址，使用了RVA 。

例如，假设一个EXE文件在0x处加载，其代码段在0x处 。那么这段代码段的RVA就是:(目标地址)0x(加载地址)0x(RVA)0x1000要把一个RVA转换成实际地址，只需把上面的过程反过来:把RVA和实际加载地址相加 ， 就可以得到实际的内存地址 。对了，按照PE格式，实际的内存地址叫做VirtualAddress (VA) 。

2、为什么在汇编语言中每一个指令都有它的地址而且固定的?esp是寄存器，地址存储在寄存器中 。jm pesp跳转到寄存器中存储的这个地址，所以地址当然是动态的，那么怎么固定呢？并不是汇编指令人为设置地址，而是因为dll镜像基址是固定的，所以特定函数的地址是固定的 。因为函数的地址是固定的，函数的内容是固定的，所以函数中特定指令的地址也是固定的 。你把因果关系弄反了 。

昨天的试题 。为了保证程序(理解为操作系统中的一个进程)能够连续执行，CPU必须有某种手段来确定下一条指令的地址 。程序计数器起这个作用，所以常被称为指令计数器 。在程序开始执行之前，它的起始地址 ， 也就是程序的一条指令所在的内存单元的地址，必须发送到PC，所以程序计数器(PC)的内容就是从内存中提取的第一条指令的地址 。在执行一条指令时，CPU会自动修改PC的内容，即每执行一条指令，PC就增加一个与该指令所包含的字节数相等的量 ， 这样就始终保持下一条要执行的指令的地址 。

3、我自己做出来的E程序用E-CodeExplorer来反编译为什么不可以生成的程序看不到源代码，但是可以看到那个程序的资源 。使用ECodeExplorer对易语言编译生成的易格式可执行文件分析 internal structure进行反汇编调试，检查其中的所有数据 。format分析:分析便于格式化可执行文件的整体结构，查看对应项的数据 。PE骨架(PE头)和易格式原型分析以树形结构清晰展示 ， 辅以明细表分析 。反汇编分析:容易格式化的可执行文件的快速静态反汇编 。

Form 分析:易格式的可执行文件中包含的表单数据分析 。表单单元的下级结构以树形结构清晰显示 。详细的控件属性显示，准确的事件处理函数定位，方便的反汇编模式切换，让用户可以立即进入要调试的事件函数的空域，避免在运行时的空间浪费时间 。这是调试非线性事件驱动程序所必需的 。符号修饰:可以调用易语言支持库作为符号表来修饰反汇编代码，可以直接分析输出函数调用的方法、操作的属性、使用的常数、基本数据类型、自定义数据类型和窗口单元 。

4、怎样读取exe文件的源代码?生成的程序看不到源代码，但是可以看到那个程序的资源 。使用ECodeExplorer对易语言编译生成的易格式可执行文件分析 internal structure进行反汇编调试 ， 检查其中的所有数据 。【功能介绍】1 。format分析:分析便于格式化可执行文件的整体结构，查看对应项的数据 。PE骨架(PE头)和易格式原型分析以树形结构清晰展示，辅以明细表分析 。
【pe 基址重定位 分析】为跳转和调用目标地址提供了方便的代码预览功能 。Form 分析:易格式的可执行文件中包含的表单数据分析 ， 表单单元的下级结构以树形结构清晰显示 。详细的控件属性显示，准确的事件处理函数定位 ， 方便的反汇编模式切换，让用户可以立即进入要调试的事件函数的空域，避免在运行时的空间浪费时间，这是调试非线性事件驱动程序所必需的 。

    推荐阅读


    上一篇：江苏省的断裂点分析地图

    下一篇：常见数据分析工具有哪些,不属于常见的第三方数据分析工具是