重读PE文件(2)
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
//
// Standard fields.
//
WORD Magic;//10Bh=exe Image
BYTE MajorLinkerVersion;//链接器版本号
BYTE MinorLinkerVersion;
DWORD SizeOfCode;//所有含代码的节的总大小
DWORD SizeOfInitializedData;//所有含已初始化数据的节的总大小
DWORD SizeOfUninitializedData;//所有含未初始化数据的节的大小
DWORD AddressOfEntryPoint;//程序执行入口RVA
DWORD BaseOfCode;//代码的节的起始RVA
DWORD BaseOfData;//数据的节的起始RVA
//
// NT additional fields.
//
DWORD ImageBase;//程序的建议装载地址
DWORD SectionAlignment;//内存中的节的对齐粒度
DWORD FileAlignment;//文件中的节的对齐粒度
WORD MajorOperatingSystemVersion;//操作系统主版本号
WORD MinorOperatingSystemVersion;//操作系统副版本号
WORD MajorImageVersion;//可运行于操作系统的最小版本号
WORD MinorImageVersion;//
WORD MajorSubsystemVersion;//可运行于操作系统的最小子版本号
WORD MinorSubsystemVersion;
DWORD Win32VersionValue;
DWORD SizeOfImage;//内存中整个PE映像尺寸
DWORD SizeOfHeaders;//所有头+节表的大小
DWORD CheckSum;//
WORD Subsystem;//文件的子系统
WORD DllCharacteristics;//
DWORD SizeOfStackReserve;//初始化时的堆栈大小
DWORD SizeOfStackCommit;//初始化时实际提交的堆栈大小
DWORD SizeOfHeapReserve;//初始化时保留的堆大小
DWORD SizeOfHeapCommit;//初始化时实际提交的堆大小
DWORD LoaderFlags;//
DWORD NumberOfRvaAndSizes;//下面的数据目录结构的数量
IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];//!!重要字段
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;
Magic字段,从名字就能看出来功能,是个标志字段,如果当前PE文件是可执行文件,其值应该为10B,不过据我的观察,有些DLL文件此值也是10B,但是有些DLL是另外的值,不清楚是怎么回事
MajorLinkerVersion~BaseOfData字段,这些字段中能够影响程序运行的只有AddressOfEntryPoint,其余的字段值即使改动了程序好像也还是能正确运行,但是只要AddressOfEntryPoint改动了,程序的入口就会改变
ImageBase字段,程序的建议装载地址,这个值还是不要乱改的好,改了以后不光程序不能正常运行,而且进程还结束不掉,我连icesword也用上了,就是死活不行,杯具
SectionAlignment和FileAlignment,一个表示的是内存中节的对齐粒度,一个表示的是文件中(即磁盘中)的对齐粒度,这个地方稍微有点难懂,我们可以想象,比如一段数据长度为7748(随便给的),内存对齐粒度为1000,文件对齐粒度为200,那么这么长的一段数据在磁盘中和在内存中占用的空间是不一样的,在内存中占用的空间可以计算如下,7748/1000,商为7,余数为748,那么其占用的空间为(7+1)×1000=8000,其中有1000-748=8B8字节空间的浪费,在磁盘中占用的空间计算如下:7748/200,商为3B,余数为148,那么占用空间为(3B+1)×200=7800,浪费的空间为200-148=B8字节,事实上,在后面的节表中,我们可以验证我们的计算是正确的SizeOfImage
SizeOfImage,内存中整个映像文件的尺寸,其大小等于最后一个节的RVA+节大小,很好理解,这个值也不能乱改,改了就杯具
SizeOfHeaders,所有头和节表的大小,这个大小比所有头和节表的大小大,而且这个值改动的话程序就出错了,我改了,又杯具了,这个值的大小和第一个节在文件中的偏移是一致的
NumberOfRvaAndSizes,这个值始终为10,任何文件中都不会变
下面就来到PE头中最重要的一个字段了,IMAGE_DATA_DIRECTORY ,这个字段的定义如下:
DWORD VirtualAddress;//数据的起始RVA
DWORD Size;//数据块的长度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
IMAGE_DATA_DIRECTORY 字段共有16个,每一个代表的意义如下:
0: IMAGE_DIRECTORY_ENTRY_EXPORT- 导出表
1: IMAGE_DIRECTORY_ENTRY_IMPORT- 导入表
2: IMAGE_DIRECTORY_ENTRY_RESOURCE- 资源
3: IMAGE_DIRECTORY_ENTRY_EXCEPTION- 异常(具体资料不详)
4: IMAGE_DIRECTORY_ENTRY_SECURITY- 安全(具体资料不详)
5: IMAGE_DIRECTORY_ENTRY_BASERELOC- 重定位表
6: IMAGE_DIRECTORY_ENTRY_DEBUG- 调试信息
7: IMAGE_DIRECTORY_ENTRY_ARCHITECTURE -版权信息
8: IMAGE_DIRECTORY_ENTRY_GLOBALPTR -具体资料不详
9: IMAGE_DIRECTORY_ENTRY_TLS- Thread Local Storage
10: IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG- 具体资料不详
11: IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT- 具体资料不详
12: IMAGE_DIRECTORY_ENTRY_IAT- 导入函数地址表
13: IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT- 具体资料不详
14: IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR- 具体资料不详
15: 未使用
很晕,一堆具体资料不详的,很郁闷,很鄙视微软,这16个字段的值不能随意修改,改错了程序就完蛋了
这16个字段要写的内容很多,下篇再写了:)