WindowsPE 资源表

0x01IMAGE_RESOURCE_DIRECTORY

资源表分布图

查看一个exe 资源表

4000位置资源目录头的结构体

typedef struct _IMAGE_RESOURCE_DIRECTORY {
    DWORD   Characteristics;
    DWORD   TimeDateStamp;
    WORD    MajorVersion;
    WORD    MinorVersion;
    WORD    NumberOfNamedEntries;
    WORD    NumberOfIdEntries;
//  IMAGE_RESOURCE_DIRECTORY_ENTRY DirectoryEntries[];
} IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;

0x02IMAGE_RESOURCE_DIRECTORY_ENTRY

接着就是资源目录项

//@[comment("MVI_tracked")]
typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY {
    union {
        struct {
            DWORD NameOffset:31;
            DWORD NameIsString:1;
        } DUMMYSTRUCTNAME;
        DWORD   Name;
        WORD    Id;
    } DUMMYUNIONNAME;
    union {
        DWORD   OffsetToData;
        struct {
            DWORD   OffsetToDirectory:31;
            DWORD   DataIsDirectory:1;
        } DUMMYSTRUCTNAME2;
    } DUMMYUNIONNAME2;
} IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;

看一下预定义16个标识

可以看到分别对应 id,名字 4个结构体 03 05 0e 10 的id 站一个双子

高位为80 就是高位1 地位代表从资源表4000偏移30位置就是下一个资源项后面也是同样的偏移分别偏移50，68，80

30位置又是IMAGE_RESOURCE_DIRECTORY 结构体

2个资源项 id是 1，2 下一级偏移位置在98，b0 如果有会继续递归下去直到把所有的关系找全

可以看到没找到下一个了高位也不是1了说明这是最后一层代表 id=407 偏移110

rva=4160 大小=2e8 这一层分析结束后面都是这样分析的以此类推

0x03IMAGE_RESOURCE_DATA_ENTRY

typedef struct _IMAGE_RESOURCE_DATA_ENTRY {
    DWORD   OffsetToData;
    DWORD   Size;
    DWORD   CodePage;
    DWORD   Reserved;
} IMAGE_RESOURCE_DATA_ENTRY, *PIMAGE_RESOURCE_DATA_ENTRY;