PE格式啊~~，谁给我讲讲RVAToOffset这个函数要表达的意思啊，难啊~~~,有全部源码的！

Question

#include "stdafx.h"
#include <stdio.h>
#include <windows.h>/*DWORD RVAToOffset(LPVOID lpBase,DWORD VirtualAddress)
{
IMAGE_DOS_HEADER *dosHeader;
IMAGE_NT_HEADERS *ntHeader;
IMAGE_SECTION_HEADER *SectionHeader;
int NumOfSections;
dosHeader=(IMAGE_DOS_HEADER*)lpBase;
ntHeader=(IMAGE_NT_HEADERS*)((BYTE*)lpBase+dosHeader->e_lfanew);
NumOfSections=ntHeader->FileHeader.NumberOfSections;
for (int i=0;i<NumOfSections;i++)
{
SectionHeader=(IMAGE_SECTION_HEADER*)((BYTE*)lpBase+dosHeader->e_lfanew+sizeof(IMAGE_NT_HEADERS))+i;
if(VirtualAddress>SectionHeader->VirtualAddress&&VirtualAddress<SectionHeader->VirtualAddress+SectionHeader->SizeOfRawData)
{
DWORD AposRAV=VirtualAddress-SectionHeader->VirtualAddress;
DWORD Offset=SectionHeader->PointerToRawData+AposRAV;
return Offset;
}
}
return 0;
}
*/
int main(int argc, char* argv[])
{
//打开文件
HANDLE hFile=CreateFile(argv[1],GENERIC_READ,FILE_SHARE_READ,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
if(hFile==INVALID_HANDLE_VALUE)
{
printf("CreateFile Failed\n");
return 0;
}
//创建内存映射文件的内核对象
HANDLE hMap=CreateFileMapping(hFile,NULL,PAGE_READONLY,NULL,NULL,NULL);
if(hMap==INVALID_HANDLE_VALUE)
{
printf("CreateFileMapping Failed\n");
return 0;
}
//把文件映射入内存
LPVOID lpBase=MapViewOfFile(hMap,FILE_MAP_READ,0,0,0);
if(lpBase==NULL)
{
printf("MapViewOfFile Failed\n");
return 0;
}
IMAGE_DOS_HEADER *dosHeader;
IMAGE_NT_HEADERS *ntHeader;
IMAGE_IMPORT_BY_NAME *ImportName;
//lpBase由MapViewOfFile函数返回
dosHeader=(IMAGE_DOS_HEADER*)lpBase;
//检测是否是有效的PE文件
if (dosHeader->e_magic!=IMAGE_DOS_SIGNATURE)
{
printf("This is not a windows file\n");
return 0;
}
//定位到PE header
ntHeader=(IMAGE_NT_HEADERS*)((BYTE*)lpBase+dosHeader->e_lfanew);
if(ntHeader->Signature!=IMAGE_NT_SIGNATURE)
{
printf("This is not a win32 file\n");
return 0;
}
//定位到导入表
IMAGE_IMPORT_DESCRIPTOR *ImportDec=(IMAGE_IMPORT_DESCRIPTOR*)((BYTE*)lpBase+RVAToOffset(lpBase,ntHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress));
while(ImportDec->FirstThunk)
{
//得到DLL文件名
char *pDllName=(char*)((BYTE*)lpBase+RVAToOffset(lpBase,ImportDec->Name));
printf("\nDLL文件名：%s\n",pDllName);
//通过OriginalFirstThunk定位到PIMAGE_THUNK_DATA结构数组
PIMAGE_THUNK_DATA pThunk=(PIMAGE_THUNK_DATA)((BYTE*)lpBase+RVAToOffset(lpBase,ImportDec->OriginalFirstThunk));
while(pThunk->u1.Function)
{
//判断函数是用函数名导入的还是序号导入的
if(pThunk->u1.Ordinal& IMAGE_ORDINAL_FLAG32)
{
//输出序号
printf("从此DLL模块导出的函数的序号：%x\n",pThunk->u1.Ordinal&0xFFFF);
}
else
{
//得到IMAGE_IMPORT_BY_NAME结构中的函数名
ImportName=(IMAGE_IMPORT_BY_NAME*)((BYTE*)lpBase+RVAToOffset(lpBase,(DWORD)pThunk->u1.AddressOfData));
printf("从此DLL模块导出的函数的函数名：%s\n",ImportName->Name);
}
pThunk++;
}
ImportDec++;
}
UnmapViewOfFile(lpBase);
CloseHandle(hMap);
CloseHandle(hFile);
return 0;
}

Answer 1

为了加快操作系统加载速度，PE文件的很多地址使用RVA表示，RVA指向的是PE文件各个数据结构被加载到内存的地址（要加上基地址），这样操作系统只要将PE文件的各个段映射到内存中，就可以直接用RVA地址访问各个数据结构了，而如果想在磁盘上直接操作PE文件里的这些结构，就要将RVA地址转换为磁盘文件中的偏移，这时候就需要用RVAToOffset这个函数了

Answer 2

/*DWORD RVAToOffset(LPVOID lpBase,DWORD VirtualAddress)
{
IMAGE_DOS_HEADER *dosHeader;
IMAGE_NT_HEADERS *ntHeader;
IMAGE_SECTION_HEADER *SectionHeader;
int NumOfSections;
// 找到PE头在文件中的偏移地址
dosHeader=(IMAGE_DOS_HEADER*)lpBase;
ntHeader=(IMAGE_NT_HEADERS*)((BYTE*)lpBase+dosHeader->e_lfanew);
// 获得PE文件中“段”的数量
NumOfSections=ntHeader->FileHeader.NumberOfSections; // 变量所有的“段”，判断传入虚拟地址是否落在“段”的虚拟地址空间中
for (int i=0;i <NumOfSections;i++)
{
// 获得”段“的头信息
SectionHeader=(IMAGE_SECTION_HEADER*)((BYTE*)lpBase+dosHeader->e_lfanew+sizeof(IMAGE_NT_HEADERS))+i;
// 比较虚拟地址和“段”的虚拟地址（起始和结束地址）
if(VirtualAddress>SectionHeader->VirtualAddress&&VirtualAddress <SectionHeader->VirtualAddress+SectionHeader->SizeOfRawData)
{
// 虚拟地址在段的空间内
// 计算传入虚拟地址相对于“段”起始地址的偏移 
DWORD AposRAV=VirtualAddress-SectionHeader->VirtualAddress;
// 换算为文件偏移地址
DWORD Offset=SectionHeader->PointerToRawData+AposRAV;
// 返回
return Offset;
}
}
return 0;
}
*/