-
-
[旧帖] 关于kernel32模块的加载位置 0.00雪花
-
发表于: 2010-8-24 13:26
-
|
|
|---|---|
|
|
|
|
|
PE文件中的VirtualAddress是一个相对地址。是指文件加载到内存后，相对于PE文件头的偏移地址。一般在PE磁盘文件中的偏移小于加载到内存的偏移。
.text节在kernel32.dll文件中的偏移量是0x400，但是加载到内存中之后，偏移量就变成了0x1000。那么kernel32.dll的.text节在内存中的地址就是kernel32.dll的基址(0x7C800000)+0x1000=0x7C801000 因此kernel32.dll的加载地址还是它的基址（0x7C800000），.text节加载到了0x7C801000。 我是在winxp上面看的kernel32.dll的基址，这个地址不知道会不会变。 另外，对DLL来说，基址只是个建议地址，操作系统会尽量去满足，如果这个地址已经被占用了，就会重定向。不过kernel32.dll应该不会重定向吧。 
|
|
|
1. ＤＬＬ文件映射到内存时，它的基地址是随需要而变化的。
2. 举例来说吧，例如有个可执行程序a.exe, 它有使用到user32.dll 和 kernel32.dll ; 那么如果uer32.dll 和 kernel32.dll 都建议基址是0x1000，那怎么办呢；如何先加载了user32.dll, 这时user32.dll占了0x1000，那么kernel32.dll就只好换个位了； 那么kernel32.dll 换个位后，他们里面函数的地址都需要做个相应的调整，这就是所谓的重定向 ３。 在说说重定向吧 例如kernel32.dll 中有个函数 GetVersion, 这个函数的地址是相对kernel32.dll的基地址 ＋ ２００；如果 kernel32.dll的基地址是0x1000，那么函数的地址就是0x1200; 现在基地址变为0x3000了，那函数的地址就变成0x3200了，这就是所谓的重定向，就是重新找到准确的地址......,笔记本打字就是慢了 
|
