2,640
社区成员
发帖
与我相关
我的任务
分享PE的一个问题，不懂的别进来聒噪！！！
有谁看过Matt Pietrek 写的PDDUMP的源码，为了得到一个DataDirectory的地址，如IMAGE_DEBUG_DIRECTORY的，他用的公式是
imageBase + pSectionHdr->PointerToRawData + (RVA -
pSectionHdr->VirtualAddress) ,
RVA = pNTHdr->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_DEBUG].VirtualAddress.
不明白为什么要这样来计算，RVA + imageBase难道不是指向IMAGE_DEBUG_DIRECTORY
的吗？？？？
imageBase + pSectionHdr->PointerToRawData + (RVA -
pSectionHdr->VirtualAddress) ,
RVA = pNTHdr->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_DEBUG].VirtualAddress.
不明白为什么要这样来计算，RVA + imageBase难道不是指向IMAGE_DEBUG_DIRECTORY
的吗？？？？
...全文
请发表友善的回复…
发表回复
sucker 2002-11-22
- 打赏
- 举报
我稍微看了一些，不敢再花时间了。
用户 昵称 2002-11-14
- 打赏
- 举报
在实际应用中，有三个域对我们有用: NumberOfSections ，SizeOfOptionalHeader 和 Characteristics。我们通常不会改变 SizeOfOptionalHeader 和Characteristics 的值，如果要遍历节表就得使用 NumberOfSections。
2． 2。2、Option Header结构域：
这是PE表头的第三个成分。对于PE文件而言，这一部分其实并不是可有可无。因为COFF格式允许不同的设计者在标准的File header之后定义一个结构。Optional header 正是PE设计者认为在基本的File header 信息之外还需要的一些重要的信息。完整的结构定义可以参考Win32 SDK中的WINNT.H头文件，这里列举了其中的重要成员：
成员 说 明
AddressOfEntryPoint PE装载器准备运行的PE文件的第一个指令的RVA。若要改变整个执行的流程，可以将该值指定到新的RVA，这样新RVA处的指令首先被执行。
ImageBase PE文件的优先装载地址。如果该值是400000h，PE装载器将尝试把文件装到虚拟地址空间的400000h处。若该地址区域已被其他模块占用，那PE装载器会选用其他空闲地址，这个过程我们把它叫做重定位。
SectionAlignment 内存中节对齐的粒度（granularity）。一旦装载到内存中，每个节(section)保证从一个此值的倍数的虚拟地址开始。如果该值是4096 (1000h)，那么每节的起始地址必须是4096的倍数。
FileAlignment 文件中节对齐的粒度。文件中组成每个section的原始数据（raw data）保证是从一个此值的倍数的虚拟地址开始。如果该值是(200h),，那么每节的起始地址必须是512的倍数。
MajorSubsystemVersion
MinorSubsystemVersion win32子系统版本。若PE文件是专门为Win32设计的，该子系统版本必定是4.0否则不会有3维立体感对话框等。
SizeOfImage 内存中整个PE映像体（map）的尺寸。它是所有头和节经过节对齐处理后的大小。
SizeOfHeaders 所有头+节表的大小，也就等于文件尺寸减去文件中所有节的尺寸。可以以此值作为PE文件第一节的文件偏移量。
Subsystem NT用来识别PE文件属于哪个子系统。 对于大多数Win32程序，只有两类值: Windows GUI 和 Windows CUI (控制台)。
DataDirectory IMAGE_DATA_DIRECTORY 结构数组。每个结构给出一个重要数据结构的RVA，比如引入地址表等。
在PE header中，有很多地址指针是用RVA来表示的。 RVA 代表相对虚拟地址（Relative Virtual Address）。简言之，RVA是虚拟空间中到参考点的一段距离，类似文件偏移量。当然它是相对虚拟空间里的一个地址，而不是文件头部。举例来说，如果PE文件装入虚拟地址(VA)空间的400000h处，且进程从虚址401000h开始执行，我们可以说进程执行起始地址在RVA 1000h。每个RVA都是相对于模块的起始VA（Virtual Address）而言的。
2．2．3、Option Header 的中的重要数据成员 Data Directory：
Data Directory 定义为IMAGE_DATA_DIRECTORY结构体数组，每个数组元素给出一个重要数据结构的RVA（Relative Visual Address 相对虚地址），比如引入表地址、重定位表地址。通常共16个成员。（详细的宏定义请参阅WIN32 SDK 的WINNT.H 头文件）
这个数组起到让装载器迅速的在内存中找到特定的节(section)的作用,减去了遍历节表的麻烦。
2． 3、Section Header：
紧接在PE header 的是section table（IMAGE_SECTION_HEADER） 。每个表项包含有该节的属性、偏移量等。如果PE文件里有3节，那么此数据结构就有3个元素。为了更好的理解PE header 和Section header 在PE文件中的组织关系，我们可以把PE文件看作一逻辑磁盘，PE header是boot扇区而sections是各种文件，节表视为逻辑磁盘中的根目录。
节表定义如下：
typedef struct _IMAGE_SECTION_HEADER {
BYTE Name[IMAGE_SIZEOF_SHORT_NAME];
union {
DWORD PhysicalAddress;
DWORD VirtualSize;
} Misc;
DWORD VirtualAddress;
DWORD SizeOfRawData;
DWORD PointerToRawData;
DWORD PointerToRelocations;
DWORD PointerToLinenumbers;
WORD NumberOfRelocations;
WORD NumberOfLinenumbers;
DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
重要成员的说明列表如下：
成员 说 明
Name 节名。长度不超过8字节。仅仅是个标记而已，注意这里不用null结束。
VirtualAddres 本节的RVA（相对虚拟地址）。PE装载器将节映射至内存时会读取本值。如果域值是1000h，而PE文件装在地址400000h处，那么本节就被载到401000h。
SizeOfRawData 经过文件对齐处理后节尺寸，PE装载器提取本域值了解需映射入内存的节字节数。
PointerToRawData 这是节基于文件的偏移量，PE装载器通过本域值找到节数据在文件中的位置。
Characteristics 包含标记以指示节属性，比如节是否含有可执行代码、初始化数据、未初始数据，是否可写、可读等。
2．4、Section 域
节（section）是PE文件真正内容的划分。每一节是是拥有共同属性的数据的集合。每节都有相应的命名，不过这个命名不是太重要，只要是相同属性的内容都可以放进一节，命名只是便于识别。下面重点介绍一下一些重要的段。
2．4．1、text section
此节一般包含有连接器连接的所有obj目标文件的执行代码。这个执行代码块是一个大的.text。不同于在DOS下面的执行文件可以分成几部分。如果是使用的Borland C++，其编译器将产生的代码存于名为CODE的区域，连接器连接到名为CODE而不是.text的节中。
2．4．2、data section
.data是初始化的数据块。这些数据块包括编译时被初始化的字符串常量、全局(globle)和静态(static)变量。
2．4．3、bss section
任何没有初始化的全局和局部变量都会存放到.bss节中。这个节并不占用文件的储藏空间，所以 RawDataOffset 总是为0。
2．4．4、rsrc section
该节包含模块的全部资源。如图标、菜单、位图等等。
2．4．5、idata section
.idata包含其他外来的如DLL中的函数及数据信息。PE文件的每一个输入函数都明确的列于该节中。
2．4．6、edata section
与.idata对应，.edata是该PE文件输出函数和数据的列表，以供其他模块引用。有的PE文件没有引出函数或数据，也就没有该节。
3、其余部分：
在节（Sections）的后面是COFF符号表格、COFF调试信息、COFF行号信息。这些域对我们的作用不大，有兴趣的读者可参阅其他书籍。
4、PE文件的装载过程：
通常PE文件执行装载简要地分为以下4步：
1）、PE文件被执行，PE装载器检查 DOS MZ header 里
2． 2。2、Option Header结构域：
这是PE表头的第三个成分。对于PE文件而言，这一部分其实并不是可有可无。因为COFF格式允许不同的设计者在标准的File header之后定义一个结构。Optional header 正是PE设计者认为在基本的File header 信息之外还需要的一些重要的信息。完整的结构定义可以参考Win32 SDK中的WINNT.H头文件，这里列举了其中的重要成员：
成员 说 明
AddressOfEntryPoint PE装载器准备运行的PE文件的第一个指令的RVA。若要改变整个执行的流程，可以将该值指定到新的RVA，这样新RVA处的指令首先被执行。
ImageBase PE文件的优先装载地址。如果该值是400000h，PE装载器将尝试把文件装到虚拟地址空间的400000h处。若该地址区域已被其他模块占用，那PE装载器会选用其他空闲地址，这个过程我们把它叫做重定位。
SectionAlignment 内存中节对齐的粒度（granularity）。一旦装载到内存中，每个节(section)保证从一个此值的倍数的虚拟地址开始。如果该值是4096 (1000h)，那么每节的起始地址必须是4096的倍数。
FileAlignment 文件中节对齐的粒度。文件中组成每个section的原始数据（raw data）保证是从一个此值的倍数的虚拟地址开始。如果该值是(200h),，那么每节的起始地址必须是512的倍数。
MajorSubsystemVersion
MinorSubsystemVersion win32子系统版本。若PE文件是专门为Win32设计的，该子系统版本必定是4.0否则不会有3维立体感对话框等。
SizeOfImage 内存中整个PE映像体（map）的尺寸。它是所有头和节经过节对齐处理后的大小。
SizeOfHeaders 所有头+节表的大小，也就等于文件尺寸减去文件中所有节的尺寸。可以以此值作为PE文件第一节的文件偏移量。
Subsystem NT用来识别PE文件属于哪个子系统。 对于大多数Win32程序，只有两类值: Windows GUI 和 Windows CUI (控制台)。
DataDirectory IMAGE_DATA_DIRECTORY 结构数组。每个结构给出一个重要数据结构的RVA，比如引入地址表等。
在PE header中，有很多地址指针是用RVA来表示的。 RVA 代表相对虚拟地址（Relative Virtual Address）。简言之，RVA是虚拟空间中到参考点的一段距离，类似文件偏移量。当然它是相对虚拟空间里的一个地址，而不是文件头部。举例来说，如果PE文件装入虚拟地址(VA)空间的400000h处，且进程从虚址401000h开始执行，我们可以说进程执行起始地址在RVA 1000h。每个RVA都是相对于模块的起始VA（Virtual Address）而言的。
2．2．3、Option Header 的中的重要数据成员 Data Directory：
Data Directory 定义为IMAGE_DATA_DIRECTORY结构体数组，每个数组元素给出一个重要数据结构的RVA（Relative Visual Address 相对虚地址），比如引入表地址、重定位表地址。通常共16个成员。（详细的宏定义请参阅WIN32 SDK 的WINNT.H 头文件）
这个数组起到让装载器迅速的在内存中找到特定的节(section)的作用,减去了遍历节表的麻烦。
2． 3、Section Header：
紧接在PE header 的是section table（IMAGE_SECTION_HEADER） 。每个表项包含有该节的属性、偏移量等。如果PE文件里有3节，那么此数据结构就有3个元素。为了更好的理解PE header 和Section header 在PE文件中的组织关系，我们可以把PE文件看作一逻辑磁盘，PE header是boot扇区而sections是各种文件，节表视为逻辑磁盘中的根目录。
节表定义如下：
typedef struct _IMAGE_SECTION_HEADER {
BYTE Name[IMAGE_SIZEOF_SHORT_NAME];
union {
DWORD PhysicalAddress;
DWORD VirtualSize;
} Misc;
DWORD VirtualAddress;
DWORD SizeOfRawData;
DWORD PointerToRawData;
DWORD PointerToRelocations;
DWORD PointerToLinenumbers;
WORD NumberOfRelocations;
WORD NumberOfLinenumbers;
DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
重要成员的说明列表如下：
成员 说 明
Name 节名。长度不超过8字节。仅仅是个标记而已，注意这里不用null结束。
VirtualAddres 本节的RVA（相对虚拟地址）。PE装载器将节映射至内存时会读取本值。如果域值是1000h，而PE文件装在地址400000h处，那么本节就被载到401000h。
SizeOfRawData 经过文件对齐处理后节尺寸，PE装载器提取本域值了解需映射入内存的节字节数。
PointerToRawData 这是节基于文件的偏移量，PE装载器通过本域值找到节数据在文件中的位置。
Characteristics 包含标记以指示节属性，比如节是否含有可执行代码、初始化数据、未初始数据，是否可写、可读等。
2．4、Section 域
节（section）是PE文件真正内容的划分。每一节是是拥有共同属性的数据的集合。每节都有相应的命名，不过这个命名不是太重要，只要是相同属性的内容都可以放进一节，命名只是便于识别。下面重点介绍一下一些重要的段。
2．4．1、text section
此节一般包含有连接器连接的所有obj目标文件的执行代码。这个执行代码块是一个大的.text。不同于在DOS下面的执行文件可以分成几部分。如果是使用的Borland C++，其编译器将产生的代码存于名为CODE的区域，连接器连接到名为CODE而不是.text的节中。
2．4．2、data section
.data是初始化的数据块。这些数据块包括编译时被初始化的字符串常量、全局(globle)和静态(static)变量。
2．4．3、bss section
任何没有初始化的全局和局部变量都会存放到.bss节中。这个节并不占用文件的储藏空间，所以 RawDataOffset 总是为0。
2．4．4、rsrc section
该节包含模块的全部资源。如图标、菜单、位图等等。
2．4．5、idata section
.idata包含其他外来的如DLL中的函数及数据信息。PE文件的每一个输入函数都明确的列于该节中。
2．4．6、edata section
与.idata对应，.edata是该PE文件输出函数和数据的列表，以供其他模块引用。有的PE文件没有引出函数或数据，也就没有该节。
3、其余部分：
在节（Sections）的后面是COFF符号表格、COFF调试信息、COFF行号信息。这些域对我们的作用不大，有兴趣的读者可参阅其他书籍。
4、PE文件的装载过程：
通常PE文件执行装载简要地分为以下4步：
1）、PE文件被执行，PE装载器检查 DOS MZ header 里
用户 昵称 2002-11-14
- 打赏
- 举报
1、PE文件格式的背景和由来：
在开始介绍PE结构之前，有必要向读者提一提常用的PE文件结构分析工具：Win32 SDK提供的 DUMPBIN 可以转储PE文件和COFF OBJ/LIB 文件；Borland 的使用者可用TDUMP观察PE 文件，但TDUMP 不支持COFF OBJ。
2、PE文件的顺序结构：
我们可以把PE的内存映象结构用下面的图示简要的表示出来：
DOS MZ HEADER
DOS STUB
PE
Header Signature(“PE\0\0”)
FileHeader
OptionalHeader
Section Table(array of IMAGE_
SECTION_HEADER)
.text
.data
.edata
.idata
.reloc
…
COFF Line Number
COFF Symbols
Code View Debug Information
2． 1、DOS header 和 DOS Stub:
所有的 PE 文件（或32位的DLLS）都必须以一个简单的DOS MZ header为起始(IMAGE_DOS_HEADER结构体)。在实际中，除了e_lfanew（PE header 的文件偏移量）我们可以不必太关心其余成员数据。DOS Stub只是提供了PE文件在DOS下执行时，DOS会把它当作有效的执行文件而顺利执行。通常会在屏幕上输出 " This program cannot run in DOS mode " 之类的提示语。程序员也可以改变DOS Stub，根据自己的意图实现完整的 DOS代码。
2． 2、PE Header：
PE表头内含程序代码和各种资料的大小位置、适用的操作系统、堆栈（stack）最初大小等等重要信息。犹如执行文件的纲目。整个PE Header 是一个IMAGE_NT_HEADERS结构体，在Win32 SDK中定义如下：
typedef struct _IMAGE_NT_HEADERS {
DWORD Signature; \\PE标记，值为50h, 45h, 00h, 00h（ASCII:”PE\0\0”）
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
PE Signature 为校验标记，由连接器产生。通常装载器通过指向此位的指针e_lfanew（DOS header中）来检验此文件是否为PE格式。FileHeader域包含了关于PE文件物理分布的一般信息, opionalHeader域包含了关于PE文件逻辑分布的信息。显然可以pNTHeader = dosHeader + dosHeader->e_lfanew获得pe头的地址。
2．2．1、File Header 结构域：
在Win32 SDK中 File Header 定义如下：
typedef struct _IMAGE_FILE_HEADER {
WORD Machine;
WORD NumberOfSections;
DWORD TimeDateStamp;
DWORD PointerToSymbolTable;
DWORD NumberOfSymbols;
WORD SizeOfOptionalHeader;
WORD ;
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;
各个成员的说明列表如下：
成 员 说 明
Machine 该文件运行所要求的CPU。对于Intel平台，该值是IMAGE_FILE_MACHINE_I386 (14Ch)。
NumberOfSections 文件的节数目。如果我们要在文件中增加或删除一个节，就需要修改这个值。
TimeDateStamp 连接器创建文件时刻。从1969/12/31 4:00 P.M. 之后的总秒数。
PointerToSymbolTable COFF 符号表格的偏移位置，用于调试。
NumberOfSymbols COFF 符号表格中符号的个数，用于调试。
SizeOfOptionalHeader 指示紧随本结构之后的 OptionalHeader 结构大小，必须为有效值。
Characteristics 关于文件信息的标记，比如文件是 exe(0x0002) 还是 dll(0x2000）
在开始介绍PE结构之前，有必要向读者提一提常用的PE文件结构分析工具：Win32 SDK提供的 DUMPBIN 可以转储PE文件和COFF OBJ/LIB 文件；Borland 的使用者可用TDUMP观察PE 文件，但TDUMP 不支持COFF OBJ。
2、PE文件的顺序结构：
我们可以把PE的内存映象结构用下面的图示简要的表示出来：
DOS MZ HEADER
DOS STUB
PE
Header Signature(“PE\0\0”)
FileHeader
OptionalHeader
Section Table(array of IMAGE_
SECTION_HEADER)
.text
.data
.edata
.idata
.reloc
…
COFF Line Number
COFF Symbols
Code View Debug Information
2． 1、DOS header 和 DOS Stub:
所有的 PE 文件（或32位的DLLS）都必须以一个简单的DOS MZ header为起始(IMAGE_DOS_HEADER结构体)。在实际中，除了e_lfanew（PE header 的文件偏移量）我们可以不必太关心其余成员数据。DOS Stub只是提供了PE文件在DOS下执行时，DOS会把它当作有效的执行文件而顺利执行。通常会在屏幕上输出 " This program cannot run in DOS mode " 之类的提示语。程序员也可以改变DOS Stub，根据自己的意图实现完整的 DOS代码。
2． 2、PE Header：
PE表头内含程序代码和各种资料的大小位置、适用的操作系统、堆栈（stack）最初大小等等重要信息。犹如执行文件的纲目。整个PE Header 是一个IMAGE_NT_HEADERS结构体，在Win32 SDK中定义如下：
typedef struct _IMAGE_NT_HEADERS {
DWORD Signature; \\PE标记，值为50h, 45h, 00h, 00h（ASCII:”PE\0\0”）
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
PE Signature 为校验标记，由连接器产生。通常装载器通过指向此位的指针e_lfanew（DOS header中）来检验此文件是否为PE格式。FileHeader域包含了关于PE文件物理分布的一般信息, opionalHeader域包含了关于PE文件逻辑分布的信息。显然可以pNTHeader = dosHeader + dosHeader->e_lfanew获得pe头的地址。
2．2．1、File Header 结构域：
在Win32 SDK中 File Header 定义如下：
typedef struct _IMAGE_FILE_HEADER {
WORD Machine;
WORD NumberOfSections;
DWORD TimeDateStamp;
DWORD PointerToSymbolTable;
DWORD NumberOfSymbols;
WORD SizeOfOptionalHeader;
WORD ;
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;
各个成员的说明列表如下：
成 员 说 明
Machine 该文件运行所要求的CPU。对于Intel平台，该值是IMAGE_FILE_MACHINE_I386 (14Ch)。
NumberOfSections 文件的节数目。如果我们要在文件中增加或删除一个节，就需要修改这个值。
TimeDateStamp 连接器创建文件时刻。从1969/12/31 4:00 P.M. 之后的总秒数。
PointerToSymbolTable COFF 符号表格的偏移位置，用于调试。
NumberOfSymbols COFF 符号表格中符号的个数，用于调试。
SizeOfOptionalHeader 指示紧随本结构之后的 OptionalHeader 结构大小，必须为有效值。
Characteristics 关于文件信息的标记，比如文件是 exe(0x0002) 还是 dll(0x2000）
rokia 2002-11-14
- 打赏
- 举报
這種沒有禮貌的人，不要理他。
sufeng 2002-11-14
- 打赏
- 举报
去看雪学院看看资料吧。www.pediy.com
用户 昵称 2002-11-14
- 打赏
- 举报
u r master-hand
soft_air 2002-11-14
- 打赏
- 举报
jennyvenus,很感谢你，你贴的这些资料我手头有，我现在就是被他的这些rva弄糊涂了，我所参考的是Matt Pietrek 的windows95 system programming secrets, 当然用的是jjhou翻译的，我觉得有些DD写得也不是很清楚，特别是拿出pedump的源码分析时，问题就随之而来。
我感到很疑惑的就是 DataDirectory的定位，在一个section内我要找到某个DataDirectory的位置，看了pedump的源码，不太清楚为什么要这样来找。
我感到很疑惑的就是 DataDirectory的定位，在一个section内我要找到某个DataDirectory的位置，看了pedump的源码，不太清楚为什么要这样来找。
NowCan 2002-11-14
- 打赏
- 举报
我曾经也被这个东西搞得晕头转向。
后来就没深入研究了，呵呵。
http://vip.6to23.com/NowCan1/tech/pe.htm
后来就没深入研究了，呵呵。
http://vip.6to23.com/NowCan1/tech/pe.htm
soft_air 2002-11-13
- 打赏
- 举报
再问，为了寻找某个section的位置，我们是先找到它在section table中的那个IMAGE_SECTION_HEADER结构，它里面有一个VirtualAddress和一个PointerToRawData，我们究竟依靠哪个来寻找这个section的位置？？？
