PE

来源:互联网 发布:kalman滤波算法原理 编辑:程序博客网 时间:2024/04/26 20:36

PE里面常见的术语:

RVA :relative virtual address 相对虚拟地址,是相对于PE文件的装载基地址的一个偏移地址.

 

 

基地址: BASE address,PE文件装载时候都有一个装载目标地址(Targe Address)

而RVA就是基于BASE address 相对地址

 

 

装载一个PE可执行文件的过程:

1.读取文件的第一个页,获取dos 头,PE的文件头,段表

2.检查进程地址空间,目标地址是否可用,如果不可用,则另外选一个装载地址。

3.使用段表中提供的信息,将PE文件中所有的段一一映射到地址空间中相应的位置。

4.如果装载地址不是目标地址,则进行Rebasing

5.装载所有PE文件所需要的DLL文件。

6.对PE文件中所有导入符号进行解析。

7.根据PE头中指定的参数,建立初始化栈和堆

8.建立主线程并启动进程。

 

常识:

PE文件的优先装载地址是0x00400000(虚拟空间的地址)

DLL文件的优先装载地址是0x10000000

 

address of entrypoint:

为PE文件的第一个指令的RVA.

 

在内存中的对齐粒度: 4096 bytes

在32位的PE文件中,段的起始地址和长度都是4096字节的整数倍,无需像ELF考虑段地址对齐之类的问题,但这样也会浪费磁盘和内存空间,但是PE文件的段也格外的少。