ITPub博客

首页 > 大数据 > Hadoop > (软件加密解密技术内幕)Optional Header

(软件加密解密技术内幕)Optional Header

Hadoop 作者:gold555 时间:2013-11-25 16:42:00 0 删除 编辑

我们已经学习了关于DOS header和PE header中部分成员的知识。这里是PE
header中最后、最大或许也是最重要的成员,optional header。

回顾一下,optional header结构是IMAGE_NT_HEADERS中的最后成员。包含了PE文件的逻辑分布信息。该结构共有31个域,一些是很关键,另一些不太常用。这里只介绍那些真正有用的域。

这儿有个关于PE文件格式的常用术语: RVARVA代表相对虚拟地址。知道什么是虚拟地址吗?相对那些简单的概念而言,RVA有些晦涩。简言之,RVA是虚拟空间中到参考点的一段距离。我打赌您肯定熟悉文件偏移量:
RVA就是类似文件偏移量的东西。当然它是相对虚拟空间里的一个地址,而不是文件头部。举例说明,如果PE文件装入虚拟地址(VA)空间的400000h处,且进程从虚址401000h开始执行,我们可以说进程执行起始地址在RVA
1000h。每个RVA都是相对于模块的起始VA的。为什么PE文件格式要用到RVA呢?
这是为了减少PE装载器的负担。因为每个模块多有可能被重载到任何虚拟地址空间,如果让PE装载器修正每个重定位项,这肯定是个梦魇。相反,如果所有重定位项都使用RVA,那么PE装载器就不必操心那些东西了:
它只要将整个模块重定位到新的起始VA。这就象相对路径和绝对路径的概念: RVA类似相对路径,VA就象绝对路径。

Field

Meanings

AddressOfEntryPoint    PE装载器准备运行的PE文件的第一个指令的RVA。若您要改变整个执行的流程,可以将该值指定到新的RVA,这样新RVA处的指令首先被执行。    

ImageBase    PE文件的优先装载地址。比如,如果该值是400000h,PE装载器将尝试把文件装到虚拟地址空间的400000h处。字眼"优先"表示若该地址区域已被其他模块占用,那PE装载器会选用其他空闲地址。    

SectionAlignment    内存中节对齐的粒度。例如,如果该值是4096
(1000h),那么每节的起始地址必须是4096的倍数。若第一节从401000h开始且大小是10个字节,则下一节必定从402000h开始,即使401000h和402000h之间还有很多空间没被使用。    

FileAlignment    

文件中节对齐的粒度。例如,如果该值是(200h),,那么每节的起始地址必须是512的倍数。若第一节从文件偏移量200h开始且大小是10个字节,则下一节必定位于偏移量400h:
即使偏移量512和1024之间还有很多空间没被使用/定义。

   

MajorSubsystemVersionMinorSubsystemVersion    win32子系统版本。若PE文件是专门为Win32设计的,该子系统版本必定是4.0否则对话框不会有3维立体感。    

SizeOfImage    内存中整个PE映像体的尺寸。它是所有头和节经过节对齐处理后的大小。    

SizeOfHeaders    所有头+节表的大小,也就等于文件尺寸减去文件中所有节的尺寸。可以以此值作为PE文件第一节的文件偏移量。    

Subsystem    NT用来识别PE文件属于哪个子系统。 对于大多数Win32程序,只有两类值: Windows GUI 和
Windows CUI (控制台)。    

DataDirectory    一IMAGE_DATA_DIRECTORY结构数组。每个结构给出一个重要数据结构的RVA,比如引入地址表等。    

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/22665474/viewspace-1111955/,如需转载,请注明出处,否则将追究法律责任。

上一篇: 没有了~
下一篇: 没有了~
请登录后发表评论 登录
全部评论

注册时间:2009-10-07