PE段VirtualSize对齐0x1000的必要性及非对齐值可用性问询

为什么默认要求VirtualSize对齐到0x1000（4KB） #

• 这一数值通常等于PE的SectionAlignment（段内存对齐值），和Windows系统的内存页分配粒度一致：Windows用户态默认内存页大小为4KB，内存管理器以页为单位分配内存、设置读写执行权限。段对齐到页边界时，系统可以直接为整页设置对应段的权限，无需处理同一页内存在两个不同权限段的冲突，运行效率和安全性更高。
• 早期Windows版本（如Windows 9x系列）的PE加载器有强制对齐要求，未对齐的VirtualSize会直接导致程序加载失败。

为什么未对齐的VirtualSize也能正常运行 #

从Windows NT系列开始，PE加载器做了兼容优化：

• 加载时会自动处理未对齐的VirtualSize，段在内存中实际占用的空间仍然会向上对齐到SectionAlignment
• PE头中填写的未对齐VirtualSize本身会被识别为有效，加载器只会把VirtualSize对应长度的原始段数据映射到内存，对齐后多出的页内空间会被初始化为0
• 目前主流Windows版本（Win7及以上）对未对齐VirtualSize的容忍度很高，只要程序本身没有段越界访问的逻辑，基本都可以正常运行。

能否直接传入未对齐的值作为VirtualSize #

正常场景下可以直接使用未对齐的数值，不过存在几个需要注意的边界情况：

• 如果需要兼容Windows 9x、早期Windows XP等老旧系统，必须对齐到SectionAlignment，否则程序会加载失败。
• 如果是做加壳、反调试等特殊场景的开发，未对齐的VirtualSize可能会触发部分安全软件的异常检测，也会导致部分严格遵循PE标准的解析工具报错。
• 你当前使用的对齐函数是符合标准实现的，追求兼容性的话直接使用对齐后的数值作为VirtualSize即可，不会产生任何副作用。

unsigned int align_to_boundary(unsigned int address, unsigned int boundary) {
    return (((address + boundary - 1) / boundary) * boundary);
}

内容的提问来源于stack exchange，提问作者zeroaceee