PE文件结构|PE结构学习(6)_重定位表 PE文件结构|学习

重定位表什么是重定位表当一个PE文件执行时会加载多个PE文件,而每个被加载的PE文件都有它在内存展开后的起始地址, 这个地址是由此PE文件的imagebase(基址)所决定的
若前面的PE文件占用了后面PE文件的地址, 则后面的PE文件需要重新设置基址, 然后通过重定位表对所有的重定位信息进行修改，而所有的重定位信息都存储在重定位表中
通常一个PE文件会有多张重定位表

重定位表的位置如下代码是重定位表的结构体定义代码

typedef struct _IMAGE_BASE_RELOCATION{ DWORD VirtualAddress; //重定位表开始地址 DWORD SizeOfBlock; //重定位表大小 }IMAGE_BASE_RELOCATION; typedef IMAGE_BASE_RELOCATION,*PIMAGE_BASE_RELOCATION

下图包含3个重定位表，最前面弱绿色部分的表格是第一个重定位表, 前8个字节分别存储重定位表的起始地址及其大小,后面的字节存储着需修正的地址,但起始有些地址不需要修正的,后面会详细说明如何确定哪些地址不需要修正
由此可见,一个PE文件可有多个重定义表，那么如何来确定具体有多少个呢?
绿色部分的表格存储了8个0字节, 这也代表着重定位表结构数量的截止位置,因此可以确定一共有3个重定位表

文章图片

? 确定重定位表中需修正的地址重定位表中存储需修正的地址是以二进制的方式进行存储, 所以一个字节存储着8个位的二进制
可以通过高4位来确定这个地址是否要被修正
例如00110011,这个地址的高四位是0011, 换算成十进制值为3, 则这个地址是要被修正的; 而00010011的高四位是0001,换算成十进制值是1,并不等于3, 所以这个值是不用被修正的
类似00010011这些地址为什么不用修正都存储在重定位表中呢? 因为这些地址是内存对齐后的间隙地址, 属于无用数据
为了节省重定位表的存储空间, 将需修正的地址分两部分进行存储,例如下图所示，将401122分为400000与1122
【PE文件结构|PE结构学习(6)_重定位表】