Según lordPe la imageBase es de 400000 pero cuando hago el calculo en ollydbg es de 850000 o de 1170000. He visto varios post respecto al tema y en ollydbg siempre tienen una ImageBase de 400000. Alguien me puede decir a que se debe esto ?. Para que la imagebase no cambie cada vez que cargo el exe a olly.

Es que estoy usando dos programas ollydbg y lordPE, en el lordpe te sale el punto de entrada y algo que se llama imageBase si tu sumas la direccion de imagBase con la del punto de entrada en LordPe, en olly deberia coincidir con la direccion en la que esta el punto de entrada.


Me explico mejor (entryPoint + imageBas) = direccion en Olly. El imageBase es siempre 400000 es decir que el punto de entrada en olly deberia ser 400000+(punto de entrada en lordPe). Eso es lo que he visto en la mayoría de tutoriales al respecto. Pero eso no ocurre en este caso. Cada vez que abro el .exe en Olly y en lordPe cambia ese imageBase. Apesar de marcar 400000 en LordPe.



Perdon si no me puedo hacer entender bien :S

tambien quiero preguntar yo una cosa sobre esto ya de paso si resuelve en una direccion y te cambia la dirección por el aslr la unica manera de evitarlo sería desactivarlo?  Y otra cuando dices la EP te refieres a que si se abre el programa cada vez con el ollydbg y te cambia el entry point quiere decir que tiene aslr?

En los ejecutables producidos para Windows NT, la base de imagen predeterminada era 0x10000. Para DLL, el valor predeterminado es 0x400000. En Windows 95, la dirección 0x10000 no se puede utilizar para cargar EXE de 32 bits porque se encuentra dentro de una región de dirección lineal compartida por todos los procesos. Debido a esto, Microsoft ha cambiado la dirección base predeterminada para ejecutables de Win32 a 0x400000.

Cabe mencionar que no todos van hacer 0x400000, pero mas bien la mayoria ya esta definido por esa base de imagen o 'ImageBase' en ingles, La manera de leer el 'ImageBase' es nada mas y nada menos que leyendo el propio PE, y como se hace es con programas como CFF Explorer o Adlice PE Viewer.

Por ende para entender lo que está pasando es imperativo que entiendas lo que es un binario PE o Portable Executable


    Fig. A - Formato de Binario Ejecutable


    Fig B. Version Mini

Con estos ejemplos de arriba puedes ver como el formato PE está estructurado, de que se compone y de donde salen los valores. Puesto que Microsoft es el autor de dicho formato, te recomiendo que pases por su pagina MSDN (o el "Microsoft Developer Network" por sus siglas en Ingles) y te comiences a ojear los documentos que hay ahi de dicho formato, no solo el MSDN es un gran lugar para aprender mas del formato PE, sino pues explora tambien en otros sitios online, foros, etc., etc.

Saludos,
0xNOP

MOD EDIT: Imagenes adaptadas a lo permitido.