PE结构-重定位表

Posted 2022-12-12 嘻嘻兮

首先，先来说一下为什么需要重定位表，先来观察一段程序

00401000 >/$  6A 00            push    0                                ; /Style = MB_OK|MB_APPLMODAL
00401002  |.  68 1D204000      push    0040201D                         ; |Title = "PE"
00401007  |.  68 10204000      push    00402010                         ; |Text = "Hello World!"
0040100C  |.  6A 00            push    0                                ; |hOwner = NULL
0040100E  |.  E8 07000000      call    <jmp.&USER32.MessageBoxA>        ; \\MessageBoxA
00401013  |.  6A 00            push    0                                ; /ExitCode = 0
00401015  \\.  E8 06000000      call    <jmp.&KERNEL32.ExitProcess>      ; \\ExitProcess
0040101A   $- FF25 08204000    jmp     dword ptr [<&USER32.MessageBoxA>>;  user32.MessageBoxA
00401020   .- FF25 00204000    jmp     dword ptr [<&KERNEL32.ExitProces>;  kernel32.ExitProcess

假设上述程序的建议装载地址为0x400000，然而当操作系统装载时，该地址被占用，所以实际地址装载地址为0x500000。

好了，那么你会发现，上述的代码片段中，是不是有些地址需要被修正呢，如第二行代码，其中的40201D肯定就不是原来的值了，50201D才为正确的值，OK，那么下面我们来列出上述程序所有需要被修正的地址

相对虚拟地址        需修正的地址        修正后地址
1003                40201D             50201D
1008                402010             502010
101C                402008             502008
1022                402000             502000

好了，观察这些地址，我们其实可以明白为什么这些地址需要被修正了，因为这些地址在代码中是写死的，或者说在二进制层面是固定的值，而且是虚拟地址，所以一旦基址发生变化后，这些地址都需要修正。

其实重定位表中记录的其实就是上面的相对虚拟地址，我们可以根据这个地址找到需要修正的地址并对其进行修正，那么如何修正呢？这里应该也比较明显，应该为原地址+（实际装载地址-原装载地址），后面后面括号部分其实就是个差值，把这部分差值加上就可以修正了，下面来模拟一下上面修正过程，就那1003来说吧，然后原装载地址为0x400000,实际地址装载地址为0x500000

假设已从重定位表中取出1003
    1.计算修正地址VA 
        1003 + 500000 = 501003
    2.取四字节内容,因为上面地址指向的内容是需要修正的
        *(PDWORD)501003 = 40201D
    3.修正上面取出的内容(加上实际装载和原装载的偏移)
        40201D + (500000 - 400000) = 50201D
    4.写回修正后的地址
        *(PDWORD)501003 = 50201D

我们先来手工修改一下ImageBase和地址，来试一试是否可以修正成功

OD载入再次观察代码

00501000 >/$  6A 00            push    0                                ; /Style = MB_OK|MB_APPLMODAL
00501002  |.  68 1D205000      push    0050201D                         ; |Title = "PE"
00501007  |.  68 10205000      push    00502010                         ; |Text = "Hello World!"
0050100C  |.  6A 00            push    0                                ; |hOwner = NULL
0050100E  |.  E8 07000000      call    <jmp.&USER32.MessageBoxA>        ; \\MessageBoxA
00501013  |.  6A 00            push    0                                ; /ExitCode = 0
00501015  \\.  E8 06000000      call    <jmp.&KERNEL32.ExitProcess>      ; \\ExitProcess
0050101A   $- FF25 08205000    jmp     dword ptr [<&USER32.MessageBoxA>>;  user32.MessageBoxA
00501020   .- FF25 00205000    jmp     dword ptr [<&KERNEL32.ExitProces>;  kernel32.ExitProcess

可以将这段代码与上面代码进行对比，对比后就会更清楚了。

好了明白了重定位的意义后，我们就可以来理解一下这个重定位表的结构了，也就是如何记录上述的那些地址

上面有提到过重定位表中记录的是VA,不过这个VA需要用多少字节来存储呢，这里的话我们想想，2字节，貌似不够，比如其真正地址为5FFFFF,那么其VA为FFFFF，明显已经超过2字节了，所以应该需要四字节，那么我们算一下总共大小

4 * sizeof DWORD = 16

好了，看着很小，只有16字节，不过是因为我们这个程序需要重定位的值比较少而已，一般都是大量的。那么如何可以优化呢，我们可以按页来划分，一页为0x1000，此时2字节就能存下了，那么页基址还是需要使用四字节来记录的

页基址: 1000
偏移: 3  8  1C  22
因为偏移肯定在页的范围内,所以只需要使用2字节记录即可

sizeof DWORD + 4 * sizeof WORD = 12

这里上下两差异是大不太，因为这里基数太小的原故，你可以把上面的4改成一个大一点的基数，那么差异就毕竟明显了，几乎可以说是折半了。

这里的这个结构就比较像重定位表的结构了，不过我们先再来想一个问题，一页的范围为[0,0xFFF],那么其实使用12位记录即可，2字节占16字节，所以是不是会多出来4位呢，这里的话操作系统使用高四位另做他用，起到状态位的效果

#define IMAGE_REL_BASED_ABSOLUTE              0  //无效重定位项,通常用于对齐
#define IMAGE_REL_BASED_HIGHLOW               3  //高低位修正,也就是四字节,windows 32位情况
#define IMAGE_REL_BASED_DIR64                 10 //64位情况

这里我们只需要关注上几种即可，其余的是微软考虑其他操作系统儿准备的，比如可能有些操作系统只需要修正高位或者低位等等情况。

所以当我们在取这个VA地址的时候，切记需要验证状态位，然后取低12位当做页内偏移进行处理。

好了，重点其实差不多都罗列出来了，下面可以来看这个结构了

typedef struct _IMAGE_BASE_RELOCATION 
    DWORD   VirtualAddress; //页基址 4字节
    DWORD   SizeOfBlock;    //总共块大小
//  WORD    TypeOffset[1];  //偏移数组
 IMAGE_BASE_RELOCATION;
typedef IMAGE_BASE_RELOCATION UNALIGNED * PIMAGE_BASE_RELOCATION;

首先对于页基址和偏移数组都好理解，那么这个块大小是什么呢？其实因为这里的偏移数组是个不确定大小的（虽然结构体里面把这个字段注释掉了,但是在内存构造中这个偏移数组就跟在后面），因为每一页中有多少需要修正并不知道，所以才有了块大小，这里的块大小也包含VirtualAddress和SizeOfBlock两个字段的大小

(SizeOfBlock - sizeof IMAGE_BASE_RELOCATION) / sizeof WORD
(SizeOfBlock - 8) / 2

所以这个块大小减去这两个字段的大小，然后除以2就是需要修正的个数了。

这里的SizeOfBlock作用二就是定位下一块的修正块，也就是该块的地址加上该块的大小，这样子就定位到了下一块的数据。

那么何时结束呢，这里就用找数据目录表了，重定位表位于数据目录的第五项，所以上面的结构我们需要从数据目录的偏移过去

#define IMAGE_DIRECTORY_ENTRY_BASERELOC       5   // Base Relocation Table

typedef struct _IMAGE_DATA_DIRECTORY 
    DWORD   VirtualAddress; //重定位块的首地址
    DWORD   Size; //总共重定位块的大小
 IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

OK，下面说说如何结束，这里数据目录项的Size是有意义的，也就是全部重定位块占用的总大小，我们需要在遍历每一块重定位块的时候减去SizeOfBlock，这样子减到零说明遍历就结束了

下面来分析一个简单的DLL模块，首先，来看一下数据目录表的第五项

做一下地址转换得出，重定位块位于0xA00，总大小为0xC，这里我们可以先预测一下，一个重定位块最少需要8字节（页内无偏移修正，不过话说回来，要是没修正的话也不会存在该块..），所以可以确定重定位块数只有一块，偏移有2项（(0xC-0x8)/2）

下面来看一下数据

预测还是正确的，这里的页基址为0x1000,块大小为0xC，然后计算偏移项数为2，下面来分析下这两项，基址为0x10000000

0x3036
    1.取状态 (0x3036&0xF000) >> 12
        结果为3,说明是个32位的四字节修正
    2.计算修正地址
        计算页内偏移 0x3036 & 0x0FFF = 0x36
        加上页基址   0x1000 + 0x36 = 0x1036
        加上实际基址 0x10000000 + 0x1036 = 0x10001036
    3.对该地址处的四字节内容进行修正
        *(PDWORD)0x10001036 += (实际装载地址-建议装载地址)

0x0000
    1. 同上取状态
        结果为0,说明无效重定位项,直接略过即可

供2项,遍历结束
        

数据目录项中的Size 减去 SizeOfBlock，结果为0，遍历修正结束。

OK,下面我们使用OD打开来验证一下0x10001036项的地址是否需要修正

看结果是正确的，在OD中，需要修正的地址都会有下划线的标识（也是根据重定位识别的）。