PE文件部分RVA计算

Question

我目前正在查看PE文件的节表，包括磁盘上的原始数据和几个PE分析器。我对某些地址的解释方式感到困惑。

例如。从磁盘上的原始PE映像，我看到：

.text    virtualSize: 0x1A0F71  virtualAddress: 0x1000  rawSize: 0x1A1000

然而，当使用一些PE分析仪（LordPE，pedump.me）时，我看到了：

.text    virtualSize: 0x114d41  virtualAddress: 0x1000  rawSize: 0x114e00

我不确定如何解释这些值。它与对齐和图像的基地址有关吗？

任何意见都会受到赞赏。

由于

Answer 1

也许this可以帮助您解决问题：

Answer 2

这需要通灵调试，一节的大小不受RVA的影响。水晶球说你实际上在看两个不同的文件。并且您的PE转储器实用程序是您在64位操作系统上运行的32位程序。

您必须了解File System Redirector。 32位进程将从c：\ windows \ system32重定向到c：\ windows \ syswow64，从c：\ program files重定向到c：\ program files（x86）。因此，您的PE转储程序实用程序很可能会打开32位版本的可执行文件。是的，.text部分将会小得多。

将文件复制到不受重定向影响的目录，例如Documents文件夹。