获取当前映像基址

Get current Image Base address

本文关键字：映像 获取      更新时间：2023-10-16

我做了一些计算来得到一个相对虚拟地址(RVA(。

我计算了一个正确的 RVA(根据 .map 文件(，我想将其转换为可调用的函数指针。

有没有办法将其转换为物理地址？

我想过获取图像基址并添加它。根据这个线程，应该可以通过 GetModuleHandle(NULL) ，但结果是"错误的"。只有当我从 .map 文件中定义的函数中减去指针时，我才会得到一个好的结果。

是否有 WINAPI 将 RVA 转换为物理地址，或获取映像基址，或获取物理地址的 RVA？

下面是一些示例代码：

#include <stdio.h>
#include <Windows.h>
#include <WinNT.h>
static int count = 0;
void reference()       // According to .map RVA = 0x00401000
{
}
void toCall()          // According to .map RVA = 0x00401030
{
    printf("Called %dn", ++count);
}
int main()
{
    typedef void (*fnct_t)();
    fnct_t fnct;
    fnct = (fnct_t) (0x00401030 + (((int) reference) - 0x00401000));
    fnct(); // works
    fnct = (fnct_t) (0x00401030 + ((int) GetModuleHandle(NULL)) - 0x00400000);
    fnct(); // often works
    return 0;
}

我主要担心的是，有时(可能在线程上下文中(GetModuleHandle(NULL)似乎不正确。

要在编译时直接预定义入口点的情况下获取映像库，您可以进行简单的搜索，从当前 VA 对齐eax@1000h并循环直到在当前内存页面中找到有效的 PE 签名"MZ"。

假设基址未重新定位到另一个 PE 映像中。我为您准备了一个函数：

DWORD FindImageBase() {
    DWORD* VA = (DWORD *) &FindImageBase, ImageBase;
    __asm {
            mov eax, VA
            and eax, 0FFFF0000h
        search:
            cmp word ptr [eax], 0x5a4d
            je stop
            sub eax, 00010000h
            jmp search
        stop:
            mov [ImageBase], 0
            mov [ImageBase], eax
    }
    return ImageBase;
}
相关文章：