揭秘Windows PE可执行文件的重定位表

后端

2023-05-29 20:32:35

Windows PE 可执行文件的重定位表

在 Windows 操作系统中，可执行文件通常以便携式可执行（PE）格式存储。PE 文件包含各种信息，包括代码、数据、资源和元数据。其中一个重要的元数据部分是重定位表，负责在程序加载和运行时修改代码和数据中的地址。

重定位表结构

重定位表位于 PE 文件的末尾，包含以下部分：

重定位表头： 包含有关重定位表的信息，如项数和总大小。
重定位项数组： 包含每个需要修改地址的代码或数据项的重定位项。

重定位类型

每个重定位项指定了重定位类型，指示要执行的特定重定位操作。常见类型包括：

代码重定位： 修改指令中调用的代码地址。
数据重定位： 修改数据引用中调用的数据地址。
基地址重定位： 修改代码和数据中包含的可执行文件基地址。

重定位值

重定位项还包含一个重定位值，指示修改后的地址。该值通常是相对于可执行文件基地址或特定内存区域的偏移量。

重定位表功能

重定位表在程序运行过程中发挥着至关重要的作用：

地址重定位： 在程序加载到内存时，加载器使用重定位表来修改代码和数据中的地址，确保它们正确指向内存中的位置。
动态链接库 (DLL) 加载： 重定位表还允许程序在运行时加载所需的 DLL，并更新其中引用的地址。
符号解析： 符号解析器使用重定位表来解析程序中使用的符号，以便正确调用函数和访问数据。

示例代码

以下 C++ 代码示例演示了如何使用 Windows API 修改 PE 文件的重定位表：

#include <windows.h>
#include <stdio.h>

int main() {
    // 打开 PE 文件
    HANDLE hFile = CreateFile("my.exe", GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
    if (hFile == INVALID_HANDLE_VALUE) {
        printf("无法打开文件\n");
        return 1;
    }

    // 映射 PE 文件
    HANDLE hFileMapping = CreateFileMapping(hFile, NULL, PAGE_READWRITE, 0, 0, NULL);
    if (hFileMapping == NULL) {
        printf("无法创建文件映射\n");
        CloseHandle(hFile);
        return 1;
    }

    LPVOID pFile = MapViewOfFile(hFileMapping, FILE_MAP_ALL_ACCESS, 0, 0, 0);
    if (pFile == NULL) {
        printf("无法映射文件\n");
        CloseHandle(hFileMapping);
        CloseHandle(hFile);
        return 1;
    }

    // 找到重定位表
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pFile;
    PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pFile + pDosHeader->e_lfanew);
    PIMAGE_BASE_RELOCATION pBaseRelocation = (PIMAGE_BASE_RELOCATION)((DWORD)pFile + pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress);

    // 修改重定位项
    while (pBaseRelocation->SizeOfBlock) {
        DWORD numRelocations = (pBaseRelocation->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) / sizeof(IMAGE_RELOCATION);
        PIMAGE_RELOCATION pRelocation = (PIMAGE_RELOCATION)(pBaseRelocation + 1);

        for (DWORD i = 0; i < numRelocations; i++) {
            // 根据重定位类型修改地址
            switch (pRelocation->Type) {
                case IMAGE_REL_BASED_HIGHLOW:
                    *(PDWORD)((DWORD)pFile + pRelocation->Offset) += pBaseRelocation->BaseDelta;
                    break;
                // ... 其他重定位类型
            }

            pRelocation++;
        }

        pBaseRelocation = (PIMAGE_BASE_RELOCATION)((DWORD)pBaseRelocation + pBaseRelocation->SizeOfBlock);
    }

    // 取消映射和关闭文件
    UnmapViewOfFile(pFile);
    CloseHandle(hFileMapping);
    CloseHandle(hFile);

    printf("重定位表已成功修改\n");
    return 0;
}