Comment comprendre l'en-tête PE dans ce graphique?

Question

OMI, cela devrait tenir:

rva = raw - imagebase 

qui n'est pas le cas dans le graphique, pourquoi?

Answer 1

Le point d'entrée RVA, point d'entrée adresse brute, et l'adresse de base d'image ne sont pas liés de cette façon.

La base de l'image est « l'adresse préférée du premier octet de l'image lorsqu'il est chargé dans la mémoire ». En d'autres termes, c'est l'adresse virtuelle de l'image quand elle est chargée en supposant qu'il n'y a pas de conflit. S'il y a un conflit d'adresse lorsque l'image est chargée (par exemple, une autre image est déjà chargée dans une plage de chevauchement), alors une nouvelle adresse de base sera choisie pour l'image.

Une RVA est une adresse virtuelle relative. C'est "relatif" dans le sens où il est changé lorsque l'image est réellement chargée. C'est l'adresse lorsque l'adresse de base n'est pas connue (par exemple lorsque l'image n'est pas chargée). Une fois l'image chargée, le RVA devient une adresse virtuelle (VA), une adresse réelle dans la mémoire virtuelle.

La distinction brute vs. RVA est due à l'alignement. Il y a alignement des sections (alignement des sections lorsqu'elles sont chargées en mémoire) et alignement des fichiers (alignement des données brutes dans les sections). L'alignement de section ici est 0x1000 tandis que l'alignement de fichier est 0x200. Le point d'entrée RVA est utilisé pour déterminer le VA du point d'entrée lorsque l'image est chargée (c'est-à-dire que le point d'entrée sera situé à l'adresse virtuelle EntryPoint (rva) + ImageBase). L'adresse brute du point d'entrée est le décalage dans le fichier où se trouve le point d'entrée.

This document a une bonne explication de l'alignement.