PE 文件部分 RVA 计算

Question

我目前正在通过磁盘上的原始数据和几个 PE 分析器查看 PE 文件的节表。我对某些地址的解释方式有些困惑。

例如。从磁盘上的原始 PE 映像中，我看到了：

.text    virtualSize: 0x1A0F71  virtualAddress: 0x1000  rawSize: 0x1A1000

但是，当使用一些 PE 分析器（LordPE、pedump.me）时，我看到了：

.text    virtualSize: 0x114d41  virtualAddress: 0x1000  rawSize: 0x114e00

我不确定这些值是如何被解释的。和对齐有关，和图片的基地址有关吗？

我们将不胜感激。

谢谢

Answer 1

也许this 可以帮助您解决问题：

Answer 2

这需要心理调试，部分的大小不受 RVA 的影响。水晶球表示您实际上正在查看两个 不同 文件。您的 PE 转储程序实用程序是您在 64 位操作系统上运行的 32 位程序。

您必须了解File System Redirector。 32 位进程将从 c:\windows\system32 重定向到 c:\windows\syswow64 并从 c:\program files 重定向到 c:\program files (x86)。因此，您的 PE 转储程序很可能会打开 32 位版本的可执行文件。是的，.text 部分会小很多。

将文件复制到不受重定向影响的目录，例如您的 Documents 文件夹。