windows - PE 格式标头混淆

Question

我正在查看 PEView 中的可执行文件，发现导入表的 DataDirectory 中列出的 RVA 为 0x649c，而导入表在文件中的偏移量为 0x649c，这意味着导入表在内存中的偏移量与它在磁盘中。我检查了部分标题，似乎尽管每个部分的 VirtualSize 和 SizeOfRawData 都不同，但 RVA 和 PointerToRawData 总是相同的。如果尺寸不同，这怎么可能？

Answer 1

您的计算机具有较新的 4 kb 硬盘扇区大小，这就是偏移量相同的原因。

Answer 2

这是同一个字段 - 如果您正在查看磁盘上的文件，则它是文件偏移量。如果加载了模块，加载器会用内存中的 RVA 替换这个值。