1
typedef struct _IMAGE_NT_HEADERS {
2
  DWORD Signature;             // PE文件标识 4Bytes
3
  IMAGE_FILE_HEADER FileHeader;      // 40 Bytes
4
  IMAGE_OPTIONAL_HEADER32 OptionalHeader; // 224 Bytes  PE32可执行文件
5
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

1
#define IMAGE_SIZEOF_SHORT_NAME       8
2

3
typedef struct _IMAGE_SECTION_HEADER {
4
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
5
  //块名。多数块名以一个“.”开始（例如.text），这个“.”不是必需的
6
  union {
7
      DWORD  PhysicalAddress; //常用第二个字段
8
      DWORD  VirtualSize;
9
      //加载到内存实际区块的大小（对齐前），为什么会变呢？可能是有时未初始化的全局变量不放bss段而是通过扩展这里
10
  } Misc;
11
  DWORD  VirtualAddress;
12
  //该块装载到内存中的RVA（内存对齐后，数值总是SectionAlignment的整数倍）
13
  DWORD  SizeOfRawData;
14
  //该块在文件中所占的空间(文件对齐后)，VirtualSize的值可能会比SizeOfRawData大 例如bss节（SizeOfRawData为0），data节（关键看未初始化的变量放哪）
15
  DWORD  PointerToRawData; //该块在文件中的偏移（FOA）
16
  DWORD  PointerToRelocations; //在“.obj”文件中使用，指向重定位表的指针
17
  DWORD  PointerToLinenumbers;
18
  WORD  NumberOfRelocations;  //重定位表的个数（在OBJ文件中使用）。
19
  WORD  NumberOfLinenumbers;
20
  DWORD  Characteristics;
21
  //块的属性 该字段是一组指出块属性（例如代码/数据、可读/可写等）的标志
22
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

1
typedef struct _IMAGE_EXPORT_DIRECTORY {
2
  DWORD  Characteristics; //未定义，总是为0。
3
  DWORD  TimeDateStamp; //输出表创建的时间（GMT时间）
4
  WORD  MajorVersion;  //输出表的主版本号。未使用，设置为0。
5
  WORD  MinorVersion;  //输出表的次版本号。未使用，设置为0。
6
  DWORD  Name;
7
  //指向一个ASCII字符串的RVA。这个字符串是与这些输出函数相关联的DLL的名字（例如"KERNEL32.DLL"）
8
  DWORD  Base;
9
  //导出函数起始序号（基数）。当通过序数来查询一个输出函数时，这个值从序数里被减去，其结果将作为进入输出地址表（EAT）的索引
10
  DWORD  NumberOfFunctions;
11
  //输出函数地址表（Export Address Table，EAT）中的条目数量（最大序号 - 最小序号）
12
  DWORD  NumberOfNames;   //输出函数名称表（Export Names Table，ENT）里的条目数量
13
  DWORD  AddressOfFunctions;   // EAT的RVA(输出函数地址表RVA)
14
  DWORD  AddressOfNames;
15
  // ENT的RVA(输出函数名称表RVA)，每一个表成员指向ANCII字符串 表成员的排列顺序取决于字符串的排序
16
  DWORD  AddressOfNameOrdinals; // 输出函数序号表RVA，每个表成员2字节
17
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

1
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
2
  union {
3
    DWORD  Characteristics;      // 0 for terminating null import descriptor
4
    DWORD  OriginalFirstThunk;     // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
5
  } DUMMYUNIONNAME;
6
  DWORD  TimeDateStamp;         // 0 if not bound,
7
                      // -1 if bound, and real date\time stamp
8
                      //   in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
9
                      // O.W. date/time stamp of DLL bound to (Old BIND)
10
  DWORD  ForwarderChain;         // -1 if no forwarders
11
  DWORD  Name;
12
  DWORD  FirstThunk;           // RVA to IAT (if bound this IAT has actual addresses)
13
} IMAGE_IMPORT_DESCRIPTOR;

1
  INT是一个IMAGE\_THUNK\_DATA结构的数组，数组中的每个IMAGE\_THUNK\_DATA结构都指向
2

3
  IMAGE\_IMPORT\_BY\_NAME结构，数组以一个内容为0的IMAGE\_THUNK\_DATA结构结束。

1
typedef struct _IMAGE_THUNK_DATA32 {
2
  union {
3
    DWORD ForwarderString;   // 指向一个转向者字符串的RVA
4
    DWORD Function;       // 被输入的函数的内存地址
5
    DWORD Ordinal;       // 被输入的API的序数
6
    DWORD AddressOfData;    // 指向IMAGE_IMPORT BY NAME
7
  } u1;
8
} IMAGE_THUNK_DATA32;

1
typedef struct _IMAGE_IMPORT_BY_NAME {
2
  WORD  Hint;  // 输出函数地址表的索引（不是导出序号），（究竟是啥没试验，因为看的很多资料说是序号），不必须，链接器可能将其置0
3
  CHAR  Name[1]; // 函数名字字符串，以“\0”作为字符串结束标志，大小不确定
4
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

1
typedef struct _IMAGE_BASE_RELOCATION {
2
  DWORD  VirtualAddress; //记录内存页的基址RVA
3
  DWORD  SizeOfBlock;  //当前重定位块结构的大小。这个值减8就是TypeOffset数组的大小
4

5
  /*下面字段可加与不加*/
6
  /*数组每项大小为2字节。代表页内偏移，16位分为高4位和低12位。高4位代表重定位类型；
7
   低12位是重定位地址（12位就可以寻址4k），与VitualAddress相加就是一个完整RVA
8
   */
9
  //WORD  TypeOffset[1];
10
} IMAGE_BASE_RELOCATION;
11
typedef IMAGE_BASE_RELOCATION UNALIGNED * PIMAGE_BASE_RELOCATION;

1
//
2
// Based relocation types.
3
//
4

5
#define IMAGE_REL_BASED_ABSOLUTE       0  // 没有具体含义，只是为了让每个段4字节对齐
6
#define IMAGE_REL_BASED_HIGH         1
7
#define IMAGE_REL_BASED_LOW          2
8
#define IMAGE_REL_BASED_HIGHLOW        3  // 重定位指向的整个地址都需要修正，实际上大部分情况下都是这样的
9
#define IMAGE_REL_BASED_HIGHADJ        4
10
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_5  5
11
#define IMAGE_REL_BASED_RESERVED       6
12
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_7  7
13
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_8  8
14
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_9  9
15
#define IMAGE_REL_BASED_DIR64         10  // 出现在64位PE文件中，对指向的整个地址进行修正

1
typedef struct _IMAGE_RESOURCE_DIRECTORY {
2
  DWORD  Characteristics;  //理论上是资源的属性标志，但是通常为0
3
  DWORD  TimeDateStamp;   //资源建立的时间
4
  WORD  MajorVersion;   //理论上是放置资源的版本，但是通常为0
5
  WORD  MinorVersion;
6

7
  //定义资源时，既可以使用字符串作为名称来标识一个资源，也可以通过ID号来标识资源。资源目录项的数量等于两者之和。
8
  WORD  NumberOfNamedEntries; //以字符串命名的资源数量
9
  WORD  NumberOfIdEntries;  //以整型数字（ID）命名的资源数量
10
// IMAGE_RESOURCE_DIRECTORY_ENTRY DirectoryEntries[];
11
} IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;

1
//如果看不懂下面的结构建议复习一下C中的union，struct，位域
2
typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY {
3
  union {
4
    struct {
5
      DWORD NameOffset:31;
6
      DWORD NameIsString:1;
7
    } DUMMYSTRUCTNAME;
8
    DWORD  Name;
9
    WORD  Id;
10
  } DUMMYUNIONNAME;
11
  union {
12
    DWORD  OffsetToData;
13
    struct {
14
      DWORD  OffsetToDirectory:31;
15
      DWORD  DataIsDirectory:1;
16
    } DUMMYSTRUCTNAME2;
17
  } DUMMYUNIONNAME2;
18
} IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;

1
 - 当结构用于第1层目录时，定义的是资源类型；
2

3
 - 当结构用于第2层目录时，定义的是资源的名称；
4

5
 - 当结构用于第3层目录时，定义的是代码页编号。
6

7
 - 当最高位为0时，表示字段的值作为ID使用；由该字段的低16位组成整数标识符ID
8

9
 - 当最高位为1时，表示字段的低位作为指针使用，资源名称字符串使用Unicode编码，
10

11
   这个指针不直接指向字符串，而指向一个IMAGE\_RESOURCE\_DIR\_STRING\_U结构。

1
typedef struct _IMAGE_RESOURCE_DIR_STRING_U {
2
  WORD  Length;  //字符串的长度
3
  WCHAR  NameString[ 1 ]; //Unicode字符串，按字对齐，长度可变；由Length 指明 Unicode字符串的长度
4
} IMAGE_RESOURCE_DIR_STRING_U, *PIMAGE_RESOURCE_DIR_STRING_U;

1
 - 当最高位（位31）为1时，低位数据指向下一层目录块的起始地址；
2

3
 - 当最高位为0时，指针指向IMAGE\_RESOURCE\_DATA\_ENTRY结构。

1
typedef struct _IMAGE_RESOURCE_DATA_ENTRY {
2
  DWORD  OffsetToData;  //资源数据的RVA
3
  DWORD  Size;      //资源数据的长度
4
  DWORD  CodePage;    //代码页，一般为0
5
  DWORD  Reserved;    //保留字段
6
} IMAGE_RESOURCE_DATA_ENTRY, *PIMAGE_RESOURCE_DATA_ENTRY;