PE文件结构详解

typedef struct _IMAGE_DOS_HEADER {   // DOS .EXE header
  WORD  e_magic;           // Magic number
  WORD  e_cblp;           // Bytes on last page of file
  WORD  e_cp;            // Pages in file
  WORD  e_crlc;           // Relocations
  WORD  e_cparhdr;          // Size of header in paragraphs
  WORD  e_minalloc;         // Minimum extra paragraphs needed
  WORD  e_maxalloc;         // Maximum extra paragraphs needed
  WORD  e_ss;            // Initial (relative) SS value
  WORD  e_sp;            // Initial SP value
  WORD  e_csum;           // Checksum
  WORD  e_ip;            // Initial IP value
  WORD  e_cs;            // Initial (relative) CS value
  WORD  e_lfarlc;          // File address of relocation table
  WORD  e_ovno;           // Overlay number
  WORD  e_res[4];          // Reserved words
  WORD  e_oemid;           // OEM identifier (for e_oeminfo)
  WORD  e_oeminfo;          // OEM information; e_oemid specific
  WORD  e_res2[10];         // Reserved words
  LONG  e_lfanew;          // File address of new exe header 
 } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

typedef struct _IMAGE_NT_HEADERS {
  DWORD Signature;             // PE文件标识 4Bytes
  IMAGE_FILE_HEADER FileHeader;      // 40 Bytes
  IMAGE_OPTIONAL_HEADER32 OptionalHeader; // 224 Bytes  PE32可执行文件，不讨论PE32+的情况
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

typedef struct _IMAGE_FILE_HEADER {
  WORD  Machine;        // 可运行在什么样的CPU上。0代表任意，Intel 386及后续：0x014C， x64: 0x8664
  WORD  NumberOfSections;   // 文件的区块（节）数
  DWORD  TimeDateStamp;     // 文件的创建时间。1970年1月1日以GMT计算的秒数,编译器填充的，不重要的值
  DWORD  PointerToSymbolTable; // 指向符号表（用于调试）
  DWORD  NumberOfSymbols;    // 符号表中符号的个数（用于调试）
  WORD  SizeOfOptionalHeader; // IMAGE_OPTIONAL_HEADER32结构的大小，可改变，32位为E0,64位为F0
  WORD  Characteristics;    // 文件属性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

typedef struct _IMAGE_OPTIONAL_HEADER {
  //
  // Standard fields.
  //
  
  WORD  Magic;         //说明文件的类型 PE32：10BH PE32+：20BH  Rom映像文件：107H
  BYTE  MajorLinkerVersion;   //链接器主版本号
  BYTE  MinorLinkerVersion;   //链接器次版本号
  DWORD  SizeOfCode;       //所有代码节的总和（基于文件对齐） 编译器填的 没用
  DWORD  SizeOfInitializedData; //包含所有已经初始化数据的节的总大小 编译器填的 没用
  DWORD  SizeOfUninitializedData;//包含未初始化数据的节的总大小 编译器填的 没用
 
  DWORD  AddressOfEntryPoint;  //程序入口RVA  在大多数可执行文件中，这个地址不直接指向Main、WinMain或DIMain函数，而指向运行时的库代码并由它来调用上述函数
  DWORD  BaseOfCode;       //代码起始RVA，编译器填的  没用
  DWORD  BaseOfData;       //数据段起始RVA，编译器填的  没用
 
  //
  // NT additional fields.
  //
 
  DWORD  ImageBase;       //内存镜像基址 ，可链接时自己设置
  DWORD  SectionAlignment;    //内存对齐   一般一页大小4k
  DWORD  FileAlignment;     //文件对齐   一般一扇区大小512字节，现在也多4k
  WORD  MajorOperatingSystemVersion; //标识操作系统版本号 主版本号
  WORD  MinorOperatingSystemVersion; //标识操作系统版本号 次版本号
  WORD  MajorImageVersion;   //PE文件自身的主版本号 
  WORD  MinorImageVersion;   //PE文件自身的次版本号 
  WORD  MajorSubsystemVersion; //运行所需子系统主版本号
  WORD  MinorSubsystemVersion; //运行所需子系统次版本号
  DWORD  Win32VersionValue;   //子系统版本的值，必须为0
  DWORD  SizeOfImage; //内存中整个PE文件的映射的尺寸，可比实际的值大，必须是SectionAlignment的整数倍  
  DWORD  SizeOfHeaders;     //所有头+节表按照文件对齐后的大小，否则加载会出错
  DWORD  CheckSum;        //校验和，一些系统文件有要求.用来判断文件是否被修改 
  WORD  Subsystem;       //子系统	驱动程序(1) 图形界面(2) 控制台、DLL(3)
  WORD  DllCharacteristics;   //文件特性 不是针对DLL文件的
  DWORD  SizeOfStackReserve;   //初始化时保留的栈大小 
  DWORD  SizeOfStackCommit;   //初始化时实际提交的大小 
  DWORD  SizeOfHeapReserve;   //初始化时保留的堆大小
  DWORD  SizeOfHeapCommit;    //初始化时保留的堆大小
  DWORD  LoaderFlags; 
  DWORD  NumberOfRvaAndSizes;  //数据目录项数目
  IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]; //数据目录表
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

typedef struct _IMAGE_DATA_DIRECTORY {
  DWORD  VirtualAddress;  //对应表的起始RVA
  DWORD  Size;       //对应表长度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

#define IMAGE_SIZEOF_SHORT_NAME       8
 
typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME]; //块名。多数块名以一个“.”开始（例如.text），这个“.”不是必需的
  union {
      DWORD  PhysicalAddress; //常用第二个字段
      DWORD  VirtualSize;   //加载到内存实际区块的大小（对齐前），为什么会变呢？可能是有时未初始化的全局变量不放bss段而是通过扩展这里
  } Misc;
  DWORD  VirtualAddress;  //该块装载到内存中的RVA（内存对齐后，数值总是SectionAlignment的整数倍）
  DWORD  SizeOfRawData;  //该块在文件中所占的空间(文件对齐后)，VirtualSize的值可能会比SizeOfRawData大 例如bss节（SizeOfRawData为0），data节（关键看未初始化的变量放哪）
  DWORD  PointerToRawData; //该块在文件中的偏移（FOA）
 
  /*调试相关，忽略*/
  DWORD  PointerToRelocations; //在“.obj”文件中使用，指向重定位表的指针
  DWORD  PointerToLinenumbers;
  WORD  NumberOfRelocations;  //重定位表的个数（在OBJ文件中使用）。
  WORD  NumberOfLinenumbers;
 
  DWORD  Characteristics; //块的属性 该字段是一组指出块属性（例如代码/数据、可读/可写等）的标志
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

typedef struct _IMAGE_DATA_DIRECTORY {
  DWORD  VirtualAddress;  //对应表的起始RVA
  DWORD  Size;       //对应表大小（包含子表）
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

typedef struct _IMAGE_EXPORT_DIRECTORY {
  DWORD  Characteristics; //未定义，总是为0。
  DWORD  TimeDateStamp; //输出表创建的时间（GMT时间）
  WORD  MajorVersion;  //输出表的主版本号。未使用，设置为0。
  WORD  MinorVersion;  //输出表的次版本号。未使用，设置为0。
 
  DWORD  Name; //指向一个ASCII字符串的RVA。这个字符串是与这些输出函数相关联的DLL的名字（例如"KERNEL32.DLL"）
 
  DWORD  Base; //导出函数起始序号（基数）。当通过序数来查询一个输出函数时，这个值从序数里被减去，其结果将作为进入输出地址表（EAT）的索引
 
  DWORD  NumberOfFunctions; //输出函数地址表（Export Address Table，EAT）中的条目数量（最大序号 - 最小序号）
 
  DWORD  NumberOfNames;   //输出函数名称表（Export Names Table，ENT）里的条目数量
 
  DWORD  AddressOfFunctions;   // EAT的RVA(输出函数地址表RVA)
  DWORD  AddressOfNames;     // ENT的RVA(输出函数名称表RVA)，每一个表成员指向ANCII字符串 表成员的排列顺序取决于字符串的排序 
  DWORD  AddressOfNameOrdinals; // 输出函数序号表RVA，每个表成员2字节
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

#include <iostream>
#include <windows.h>
 
using namespace std;
 
typedef int(*lpAdd)(int, int);
 
lpAdd myAdd;
 
int main()
{
	//动态加载dll到内存中
	HINSTANCE  hModule = LoadLibrary("A.dll");
 
	cout << "ImageBase: " << hModule << endl;
 
	//通过函数名获取函数地址
	myAdd = (lpAdd)GetProcAddress(hModule, "add");
 
	cout << "myAdd(10, 20) = " << myAdd(10, 20) << endl;
 
	//通过序号获取函数地址
	myAdd = (lpAdd)GetProcAddress(hModule, (char*)0x0C);
 
	cout << "myAdd(10, 20) = " << myAdd(10, 20) << endl;
 
	FreeLibrary(hModule);
 
	return 0;
}

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
  union {
    DWORD  Characteristics;      // 0 for terminating null import descriptor
    DWORD  OriginalFirstThunk;     // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
  } DUMMYUNIONNAME;
  DWORD  TimeDateStamp;         // 0 if not bound,
                      // -1 if bound, and real date\time stamp
                      //   in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
                      // O.W. date/time stamp of DLL bound to (Old BIND)
 
  DWORD  ForwarderChain;         // -1 if no forwarders
  DWORD  Name;
  DWORD  FirstThunk;           // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;

typedef struct _IMAGE_THUNK_DATA32 {
  union {
    DWORD ForwarderString;   // 指向一个转向者字符串的RVA
    DWORD Function;       // 被输入的函数的内存地址
    DWORD Ordinal;       // 被输入的API的序数
    DWORD AddressOfData;    // 指向IMAGE_IMPORT BY NAME
  } u1;
} IMAGE_THUNK_DATA32;

typedef struct _IMAGE_IMPORT_BY_NAME {
  WORD  Hint;  // 输出函数地址表的索引（不是导出序号），（究竟是啥没试验，因为看的很多资料说是序号），不必须，链接器可能将其置0
  CHAR  Name[1]; // 函数名字字符串，以“\0”作为字符串结束标志，大小不确定
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

typedef struct _IMAGE_BASE_RELOCATION {
  DWORD  VirtualAddress; //记录内存页的基址RVA 
  DWORD  SizeOfBlock;  //当前重定位块结构的大小。这个值减8就是TypeOffset数组的大小
  
  /*下面字段可加与不加*/
  /*数组每项大小为2字节。代表页内偏移，16位分为高4位和低12位。高4位代表重定位类型；
   低12位是重定位地址（12位就可以寻址4k），与VitualAddress相加就是一个完整RVA
   */
  //WORD  TypeOffset[1]; 
} IMAGE_BASE_RELOCATION;
typedef IMAGE_BASE_RELOCATION UNALIGNED * PIMAGE_BASE_RELOCATION;

//
// Based relocation types.
//
 
#define IMAGE_REL_BASED_ABSOLUTE       0  // 没有具体含义，只是为了让每个段4字节对齐
#define IMAGE_REL_BASED_HIGH         1
#define IMAGE_REL_BASED_LOW          2
#define IMAGE_REL_BASED_HIGHLOW        3  // 重定位指向的整个地址都需要修正，实际上大部分情况下都是这样的
#define IMAGE_REL_BASED_HIGHADJ        4
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_5  5
#define IMAGE_REL_BASED_RESERVED       6
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_7  7
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_8  8
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_9  9
#define IMAGE_REL_BASED_DIR64         10  // 出现在64位PE文件中，对指向的整个地址进行修正

->Relocation Directory
  1. Relocation Block:
  VirtualAddress: 0x00001000 ("CODE")
  SizeOfBlock:   0x00000010 (0x0004 block entries)
 
  RVA    Type
  ---------- -----------------
  0x0000100F HIGHLOW
  0x00001023 HIGHLOW
  n/a    ABSOLUTE
  n/a    ABSOLUTE
————————————————

typedef struct _IMAGE_RESOURCE_DIRECTORY {
  DWORD  Characteristics;  //理论上是资源的属性标志，但是通常为0
  DWORD  TimeDateStamp;   //资源建立的时间
  WORD  MajorVersion;   //理论上是放置资源的版本，但是通常为0
  WORD  MinorVersion;
 
  //定义资源时，既可以使用字符串作为名称来标识一个资源，也可以通过ID号来标识资源。资源目录项的数量等于两者之和。
  WORD  NumberOfNamedEntries; //以字符串命名的资源数量
  WORD  NumberOfIdEntries;  //以整型数字（ID）命名的资源数量
// IMAGE_RESOURCE_DIRECTORY_ENTRY DirectoryEntries[];
} IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;

//如果看不懂下面的结构建议复习一下C中的union，struct，位域
typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY {
  union {
    struct {
      DWORD NameOffset:31;
      DWORD NameIsString:1;
    } DUMMYSTRUCTNAME;
    DWORD  Name;
    WORD  Id;
  } DUMMYUNIONNAME;
  union {
    DWORD  OffsetToData;
    struct {
      DWORD  OffsetToDirectory:31;
      DWORD  DataIsDirectory:1;
    } DUMMYSTRUCTNAME2;
  } DUMMYUNIONNAME2;
} IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;

typedef struct _IMAGE_RESOURCE_DIR_STRING_U {
  WORD  Length;  //字符串的长度
  WCHAR  NameString[ 1 ]; //Unicode字符串，按字对齐，长度可变；由Length 指明 Unicode字符串的长度
} IMAGE_RESOURCE_DIR_STRING_U, *PIMAGE_RESOURCE_DIR_STRING_U;

typedef struct _IMAGE_RESOURCE_DATA_ENTRY {
  DWORD  OffsetToData;  //资源数据的RVA
  DWORD  Size;      //资源数据的长度
  DWORD  CodePage;    //代码页，一般为0
  DWORD  Reserved;    //保留字段
} IMAGE_RESOURCE_DATA_ENTRY, *PIMAGE_RESOURCE_DATA_ENTRY;