|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
1：那么重定位的0x20000000这个地址是随机给出的吗？ 2：重定位偏移1 重定位偏移2 ...重定位偏移N1 这么多的重定位偏移是为了什么?是重定位偏移1也被占用就载入到重定位偏移2吗？ 感谢你的回答！ |
|
|
看了一下，但是感觉讲到数组那个部分有点晦涩。没看懂…… |
|
|
那你应该没有做后面的练习16.3.4吧 size是程序中硬编码的个数，每个数组的值经过计算得到一个相对地址（而这个相对地址的内容是一个硬编码），你看P141的练习16.3.4 #1首先使用数组中的值420加上1000得到 总偏移量1420；然后找到RVA1420这个位置（里面的C4100001就是一个硬编码），当我们加载的ImageBase不是我们设定的01000000，这个时候我们是不是得对硬编码 做一些处理 然后你看#2、#3得操作 这些都是书上的。 |
|
|
明白了一些，后面跟着那么多的2个字节的数据其实就是对应了一个个的硬编码。在运行的时候需要根据实际加载的imagebase不同来修改他们的值，但是这和重定位有什么关系。 每当我们重启了这个程序，硬编码的地址就会改变。但是我感觉这里没有体现出重定位的思想。（我理解的重定位思想是,a.dll占据了100这个地址，b.dll本来也应该占据这个地址，但是已经被占了它就只能去找别的地址了，但是在这里好像没有体现出来怎么去找到一个别的地址）只是说我们改变了文件的载入点，那么硬编码就需要改变。 |
|
|
这个只是我的理解。虽然我感觉自己这样了理解肯定有错误，但是实在不知道哪里错了。 |
|
|
我理解的重定位就是上面说的重新定位程序中硬编码的值。 我知道你想问什么 问b.dll的加载地址是怎么来的 为什么是这样的一个值 ； 这个值应该是PE加载器分配给b.dll 我猜可能是这样的 当加载器要加载b.dll文件到内存中来的时候，发现b.dll的默认加载地址已经分配出去了 然后PE加载器就随便找了个适合b.dll的内存块地址给它（合适是指大小大于b.dll的base of image，或许还有其他一些判断标准 我也不是很清楚。）我想你认为的重定位是 重新定位 ImageBase 这个过程。。 |
|
|
唉，我再搜搜资料把。 |
|
|
好吧 /捂脸 我觉得很清楚了。。 |
|
|
因为我看他一开始解释什么是重定位的时候，用的是我b.dll这个例子，结果到后来解释的又是硬编码。感觉有点对不上，还是谢谢你啦 |
|
|
不过我在想，既然是硬编码。那就是寄存器直接寻址或者相对寻址。是根据ds为基准的一个偏移量，那么在重载到不同的imagebase之后，实际上偏移量应该是不变的才对啊。因为.data数据段已经根据imagebase来修改了他的实际地址，但是他这里改了，挺奇怪的。 |
|
|
老哥 你这是神逻辑。。 【既然是硬编码。那就是寄存器直接寻址或者相对寻址。是根据ds为基准的一个偏移量】这句话的逻辑你是怎么推导出来的 估计你看了些视频又在网上看了些文章 然后书可能你只看了一遍 你练习16.3.4肯定没动手 你再看下16.3.4 动手做下 你就会发现【】里的话好奇怪。 个人建议你以书本为准，来搭建最基本的基础知识 比较稳 我就是这样的 我也是新手。。不过我看书看了很多遍了 最近一遍动手基本完成所有代码练习 |
|
|
额，拿书上的一个例子 call dword ptr ds:[2810fc],包括他很多圈出来需要重定位的信息都是[xxxxxh]这样的形式出来的，那这些不都是寄存器直接寻址吗…… |
|
|
逆向工程核心原理137页…… |
|
|
那个例题我做了几遍了。但是问题，至少以我的汇编理解，书上137页上他说需要重定位的信息，都是寄存器直接寻址。那么他那里改的目的又是什么呢。 |
|
|
不好意思明白了。原来每一次重新运行，不需要重新把PE文件装载到内存里。所以才需要改变这些硬编码。明白了明白了，谢谢你了！！！ |
|
|
那我们就以137页你说的这个地方来讨论，你应该也下载了随书example，你将第16章的程序例子notepad.exe在od中打开，看你说的2810fc处（也就是离入口第9行，push eax下面这条指令，是调用了GetStartupInfiA函数）这个函数是来自与kernel32，所以这里是不是涉及IAT（IAT是怎么形成，如何发挥作用）；2810fc这个地址是notepad.exe这个模块的IAT区域，是不是肯定得跟着notepad.exe的ImageBase走，P136下面也提到了 /捂脸 要不你咬文嚼字再看几遍。。 |
|
|
嗯，之前对运行时候的机制理解有错误，以为每一次运行都要重新装载一次。这个错误真是太大了……现在了解了。 |
|
|
还有一个问题……就是假如a.dll已经载入了,然后系统随机给了b.dll一个地址，那之后b.dll还会进行硬编码重定位的操作吗？感觉是不会的，但是还是想求证一下。。 |
|
|
是系统随机给出的,但你的dll有重定位的话,这些被重定位的地址就会自动被修改掉, 比如 push 10002000,这里的重定位给出的偏移是这个 10002000的值的偏移地址 (如XXXXxxxx:XXXX表内存块偏移,xxxx表小偏移), 那么系统载入20000000后,就会自动计算找到这个偏移,这个10002000 改成 20002000 了 计算方式也很简单 原始值+(新内存基址-默认内存基址) = 10002000 + (20000000-10000000) = 20002000 通过偏移列表(重定位表)一个一个去改 |
