windows PE Image 文件分析（5）--- .rsrc 节与 resource table

悠悠 2022-09-19 01:55 174阅读 0赞

## windows PE Image 文件分析（5）--- .rsrc 节与 resource table ##

--------------------

PE 文件所有使用的 **resource table** 非常复杂，一个典型的 windows GUI 应用程序普遍都使用到了 7 个左右的资源。

##  ##

## 1. windows 中的资源 ##

在 **WinUser.h** 文件里定义了 windows 中所使用的全部资源：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>/*<br> &nbsp;* Predefined Resource Types<br> &nbsp;*/<br> #define RT_CURSOR&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(1)<br> #define RT_BITMAP&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(2)<br> #define RT_ICON&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(3)<br> #define RT_MENU&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(4)<br> #define RT_DIALOG&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(5)<br> #define RT_STRING&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(6)<br> #define RT_FONTDIR&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(7)<br> #define RT_FONT&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(8)<br> #define RT_ACCELERATOR&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(9)<br> #define RT_RCDATA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(10)<br> #define RT_MESSAGETABLE&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(11)</p> <p>#define DIFFERENCE&nbsp;&nbsp;&nbsp;&nbsp; 11<br> #define RT_GROUP_CURSOR MAKEINTRESOURCE((ULONG_PTR)(RT_CURSOR) + DIFFERENCE)<br> #define RT_GROUP_ICON&nbsp;&nbsp; MAKEINTRESOURCE((ULONG_PTR)(RT_ICON) + DIFFERENCE)<br> #define RT_VERSION&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(16)<br> #define RT_DLGINCLUDE&nbsp;&nbsp; MAKEINTRESOURCE(17)<br> #if(WINVER &gt;= 0x0400)<br> #define RT_PLUGPLAY&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(19)<br> #define RT_VXD&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(20)<br> #define RT_ANICURSOR&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(21)<br> #define RT_ANIICON&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(22)<br> #endif /* WINVER &gt;= 0x0400 */<br> #define RT_HTML&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(23)<br> #ifdef RC_INVOKED<br> #define RT_MANIFEST&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 24<br> #define CREATEPROCESS_MANIFEST_RESOURCE_ID&nbsp; 1<br> #define ISOLATIONAWARE_MANIFEST_RESOURCE_ID 2<br> #define ISOLATIONAWARE_NOSTATICIMPORT_MANIFEST_RESOURCE_ID 3<br> #define MINIMUM_RESERVED_MANIFEST_RESOURCE_ID 1&nbsp;&nbsp; /* inclusive */<br> #define MAXIMUM_RESERVED_MANIFEST_RESOURCE_ID 16&nbsp; /* inclusive */<br> #else&nbsp; /* RC_INVOKED */<br> #define RT_MANIFEST&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MAKEINTRESOURCE(24)<br> #define CREATEPROCESS_MANIFEST_RESOURCE_ID MAKEINTRESOURCE( 1)<br> #define ISOLATIONAWARE_MANIFEST_RESOURCE_ID MAKEINTRESOURCE(2)<br> #define ISOLATIONAWARE_NOSTATICIMPORT_MANIFEST_RESOURCE_ID MAKEINTRESOURCE(3)<br> #define MINIMUM_RESERVED_MANIFEST_RESOURCE_ID MAKEINTRESOURCE( 1 /*inclusive*/)<br> #define MAXIMUM_RESERVED_MANIFEST_RESOURCE_ID MAKEINTRESOURCE(16 /*inclusive*/)</p> </td> 
  </tr> 
 </tbody> 
</table>

在 MSDN 上面有一篇文关于 resource types 的介绍：[http://msdn.microsoft.com/en-us/library/ms648009(VS.85).aspx][http_msdn.microsoft.com_en-us_library_ms648009_VS.85_.aspx]

## 2. .rsrc 节 ##

**.rsrc** 节装载整个 resouce table 结构和资源的数据，下面是 ***helloworld.exe*** 中的 **.rsrc** 节的信息

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start"> 
 <tbody> 
  <tr> 
   <td> 
    <div> 
     <strong>域</strong> 
    </div> </td> 
   <td> 
    <div> 
     <strong>.rsrc 节</strong> 
    </div> </td> 
  </tr> 
  <tr> 
   <td>VirtualSize</td> 
   <td> 
    <div>
      0x0000E71C 
    </div> </td> 
  </tr> 
  <tr> 
   <td>VirtualAddress</td> 
   <td> 
    <div> 
     <strong>0x00019000</strong> 
    </div> </td> 
  </tr> 
  <tr> 
   <td>SizeOfRawData</td> 
   <td> 
    <div>
      0x0000E800 
    </div> </td> 
  </tr> 
  <tr> 
   <td>PointerToRawData</td> 
   <td> 
    <div>
      0x00006C00 
    </div> </td> 
  </tr> 
  <tr> 
   <td>PointerToRelocations</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>PointerToLinenumbers</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>NumberOfRelocations</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>NumberOfLinenumbers</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>Characteristics</td> 
   <td> 
    <div>
      0x40000040 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

**.rsrc** 被加载在 **0x00419000**（ImageBase + VirtualAddress）上，真实的大小为 **0xE71C**，这是一个很庞大的数据段，它在 image 文件的位置是 **0x0006C00**，占用文件的 **0xE800** 空间

## 3. resource table ##

下面是 ***helloworld.exe*** 中所使用的 resource table 信息，它是一个 **IMAGE\_DATA\_DIRECTORY** 结构

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start"> 
 <tbody> 
  <tr> 
   <td> 
    <div> 
     <strong>域</strong> 
    </div> </td> 
   <td> 
    <div> 
     <strong>resource table</strong> 
    </div> </td> 
  </tr> 
  <tr> 
   <td> 
    <div>
      VirtualAddress 
    </div> </td> 
   <td> 
    <div> 
     <strong>0x00019000</strong> 
    </div> </td> 
  </tr> 
  <tr> 
   <td> 
    <div>
      size 
    </div> </td> 
   <td> 
    <div>
      0xE71C 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

可以看出，resource table 就在 **.rsrc** 节里，它们的 size 都是一样的。

这个 resouce table 共有 **0xE71C** bytse，这是一个恐怖的表格，占用大量的空间，所以这个 resource table 是一棵茂密的大树。

下面继续探索整个 resource table 的结构。

## 4. resource table 的整体结构 ##

整个 resource table 由 4 个结构组成：

*  **IMAGE\_RESOURCE\_DIRECTORY** 结构
 *  **IMAGE\_RESOURCE\_DIRECTORY\_ENTRY** 结构
 *  **IMAGE\_RESOURCE\_DIRECTORY\_STRING** 结构，或者说是：**IMAGE\_RESOURCE\_DIR\_STRING\_U** 结构
 *  **IMAGE\_RESOURCE\_DATA\_ENTRY** 结构

整个 resource 结构是一个树型结构，只有一个 root（根）节点，然后长出许多的树枝，最后是叶子。

**根部**和每个**树技**是一个节点，这个节点由 **IMAGE\_RESOURCE\_DIRECTORY** 结构和 **IMAGE\_RESOURCE\_DIRECTORY\_ENTRY** 结构组成

而 **IMGE\_RESOURCE\_DIRECTORY\_STRING**（**IMAGE\_RESOURCE\_DIR\_STRING\_U**）结构和 **IMAGE\_RESOURCE\_DATA\_ENTERY** 都是整个 **资源树** 末端的 **叶子**

它的结构图类似下面：

![resource_table.png][]

## 5. 节点的构成 ##

前面说到资源树的节点由 **IMAGE\_RESOURCE\_DIRECTORY** 与 **IMAGE\_RESOURCE\_DIRECTORY\_ENTRY** 构成，它们是怎样组成一个节点的呢？

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> 
    <ul> 
     <li>由 Directory（IMAGE_RESOURCE_DIRECTORY) 指出有多少个 Entry (IMAGE_RESOURCE_DIRECTORY_ENTRY）</li> 
     <li>然后每个 Entry 再伸延出一个 Directory 或者指出最终的 Data（数据）</li> 
    </ul> </td> 
  </tr> 
 </tbody> 
</table>

事实上 Directory 和 Entry 虽然是两个结构，但它们是一个整体，不存在单独出现的情况

### 5.1 Driectory（目录） ###

在 **WinNT.h** 文件里定义了这个 Directory 结构：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>typedef struct _IMAGE_RESOURCE_DIRECTORY { <br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; Characteristics;<br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; TimeDateStamp;<br> &nbsp;&nbsp;&nbsp; WORD&nbsp;&nbsp;&nbsp; MajorVersion;<br> &nbsp;&nbsp;&nbsp; WORD&nbsp;&nbsp;&nbsp; MinorVersion;<br> &nbsp;&nbsp;&nbsp; WORD&nbsp;&nbsp;&nbsp; NumberOfNamedEntries;<br> &nbsp;&nbsp;&nbsp; WORD&nbsp;&nbsp;&nbsp; NumberOfIdEntries;<br> //&nbsp; IMAGE_RESOURCE_DIRECTORY_ENTRY DirectoryEntries[];<br> } IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;</p> </td> 
  </tr> 
 </tbody> 
</table>

这个结构里的 **Characteristics**, **MajorVersion** 以及 **MinorVersion** 一直为 0 不使用

**NumberOfNamedEntries** 代表一个数量，以 **"Name"** 作为子树的个数。

**NumberOfIdEntries** 代表一个数量，以 **"ID"** 作为子树的个数。

而 Directory 引出的 Entry 数量是 NumberOfNamedEntries 与 NumberOfIdEntries 之和，即：**NumberOfNamedEntries + NumberOfIdEntries 等于 Entry 的数量**

### 5.2 Entry（表项） ###

在 **WinNT.h** 文件中，Entry 结构的定义为：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY { <br> &nbsp;&nbsp;&nbsp; union { <br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct { <br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD NameOffset:31;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD NameIsString:1;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; } DUMMYSTRUCTNAME;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; Name;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; WORD&nbsp;&nbsp;&nbsp; Id;<br> &nbsp;&nbsp;&nbsp; } DUMMYUNIONNAME;<br> &nbsp;&nbsp;&nbsp; union { <br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; OffsetToData;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; struct { <br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; OffsetToDirectory:31;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; DataIsDirectory:1;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; } DUMMYSTRUCTNAME2;<br> &nbsp;&nbsp;&nbsp; } DUMMYUNIONNAME2;<br> } IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;</p> </td> 
  </tr> 
 </tbody> 
</table>

这个结构看上去很复杂，实际上它成员只有 **两个 DWORD 成员** ，共 **8 bytes**，如下：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>&nbsp;typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY { <br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;<strong>Name;</strong><br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;<strong>OffsetToData;</strong><br> } IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;</p> </td> 
  </tr> 
 </tbody> 
</table>

使用这个看上去很复杂方式定义，它想表达一个策略：

*  当 **Name** 的高最位（**Bit31**）为 **1** 时： Name\[**30:0**\]（**低 31 位**）是一个 **offset** 指向 **IMAGE\_RESOURCE\_DIR\_STRING\_U** 结构。  
    **Bit31** 为 **0** 时，Name 表示一个 **ID** 值。
 *  当 **OffsetToData** 的最高位（**Bit31**）为 **1** 时：OffsetToData\[**30:0**\]（**低 31 位**）是一个 **offset** 指向下一个 **Directory** 结构。  
    **Bit31** 为 **0** 时，OffsetToData 仍然是一个 Offset 值，它指向一个 **IMAGE\_RESOURCE\_DATA\_ENTRY** 结构。

Entry 的职责是给出下一个 **Directory** 或 **Data**，从资源树的角度来看，Entry 要么给出下一个**节点**，要么给出**叶子**

### 5.2.1 给出下一个 Directory ###

此时 Name 是一个 ID 值（即：Bit31 为 0），同时 OffsetToData 指向下一个 Directory 的位置（即：Bit31 为 1）

**OffsetToData** 提供的这个 **Offset** 值是基于 **resource table** 的，例如下面的一个 Entry 是这样的：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>// entry[0]<br> 00419010&nbsp; 03 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // Name = 0x03 ====&gt; ID = 3 (ICON)<br> 00419014&nbsp; 48 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000048</p> </td> 
  </tr> 
 </tbody> 
</table>

上例上所示，**Name** 此时表示一个 ID 值（**Bit31 为 0**），而 **OffsetToData** 的 **Bit31 为 1**，此时它提供一个 offset 指向下一个 Directory 的位置。

在这个例子里，**resource table** 的位址是在 **0x00419000**，那么下一个 Directory 就在 **0x00419048**（**resource table + OffsetToData**）位置上。

### 5.2.2 给出 Data 数据 ###

OffsetToData 的 **Bit31 为 0**，它指向一个 **IMAGE\_RESOURCE\_DATA\_ENTRY** 结构，从树的解度来看，它给出一个叶子。下面是个例子：

此时 OffsetToData 提供的是 Data （**IMAGE\_RESOURCE\_DATA\_ENTRY**) 位置，同样这个 Offset 也是基于 **resource table** 的地址。

那么这个 Data 数据区域在：**0x00419398**

### 5.3 节点图 ###

![resource_node.png][]

**Entry** 紧跟着 **Directory** 存放，它们构成一个节点，Directory 的 **NumberOfIdEntries** 给出 Entry 的个数 7，那么紧跟着的 Entry 就有 7 个。 每个 Entry 是一个 I**MAGE\_RESOURCE\_DIRECTORY\_ENTRY** 结构。

那么该节点大小就有 **1** 个 **IMAGE\_RESOURCE\_DIRECTORY** 结构和 **7** 个 **IMAGE\_RESOURCE\_DIRECTORY\_ENTRY** 结构，每个节点的大小可能是不相同。

### 5.4 root 节点 ###

**root**（根）节点是 resource table 的第 1 个节点，root 就在 resource table 位置上。

以 ***helloworld.exe*** 为例，它的 resource table 在 **0x00419000**（ImageBase + VirtualAddress），下面是它的 **root** 节点：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>// Driectory: (root)<br> 00419000&nbsp; 00 00 00 00&nbsp;<br> 00419004&nbsp; 00 00 00 00&nbsp;<br> 00419008&nbsp; 00 00&nbsp;<br> 0041900A&nbsp; 00 00&nbsp;<br> 0041900C&nbsp; 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfNameEntries<br> 0041900E&nbsp; 07 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfIdEntries</p> <p>// entry[0]<br> 00419010&nbsp; 03 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 3 (ICON)<br> 00419014&nbsp; 48 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000048</p> <p>// entry[1]<br> 00419018&nbsp; 04 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 4 (MENU)<br> 0041901C&nbsp; D8 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x800000D8</p> <p>// entry[2]<br> 00419020&nbsp; 05 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 5 (DIALOG)<br> 00419024&nbsp; F0 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x800000F0</p> <p>// entry[3]<br> 00419028&nbsp; 06 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 6 (STRING)<br> 0041902C&nbsp; 08 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000180</p> <p><br> // entry[4]<br> 00419030&nbsp; 09 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 9 (ACCELERATOR)<br> 00419034&nbsp; 20 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000120</p> <p>// entry[5]<br> 00419038&nbsp; 0E 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 0E (GROUP_ICON)<br> 0041903C&nbsp; 38 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000138</p> <p><br> // entry[6]<br> 00419040&nbsp; 18 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 0x18 (MAINFEST)<br> 00419044&nbsp; 58 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000158</p> </td> 
  </tr> 
 </tbody> 
</table>

它有 **7** 个 Entry，每个 Entry 代表一个资源，由 Name（ID 值） 域得到，每个资源伸延出各自的资源树，这些 **ID** 值代表一个资源，也就是前面的 **WinUser.h** 文件定义的**常量值**，每个 Entry 的 **OffsetToData** 值都指向各自的下一个 **Directory**

## 6. 叶子（Data/String） ##

资源树最终都要落在未端的叶子上，叶子两类结构表示：**Data** 和 **String**，它们由 **Entry** 引出。

### 6.1 Data Entry ###

**Data 数据区域**由 **Data Entry** 指出，这个 Data Entry 结构在 **WinNT.h** 定义为：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>typedef struct _IMAGE_RESOURCE_DATA_ENTRY { <br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; OffsetToData;<br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; Size;<br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; CodePage;<br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; Reserved;<br> } IMAGE_RESOURCE_DATA_ENTRY, *PIMAGE_RESOURCE_DATA_ENTRY;</p> </td> 
  </tr> 
 </tbody> 
</table>

Data Entry 的职责是指出最终的 resource table 中的数据，由 **OffsetToData** 指出，这个 OffsetToData 是个 RVA 值，基于 **ImageBase**。数据区的大小由 **Size** 得出

在资源树的未端 Resource Directory Entry 给出 Data Entry，再由 Data Entry 得到 Data 区域。

### 6.2 Resource Directory String ###

Resource Directory 的名字包含在 String 结构里，这个结构在 **WinNT.h** 定义为：

Directory String 里包含的是 **Unicode** 码，因此，Directory Entry 始终指向 **IMAGE\_RESOURCE\_DIR\_STRING\_U** 结构, 它和 **IMAGE\_RESOURCE\_DIRECTORY\_STRING** 的区别是一个是 **ASCII**，一个是 **Unicode**

**NameString** 是不定长的，用来表示 Directory 的名字，如：**ICON 资源 Directory**

### 6.3 两种分枝 ###

Data 与 String 不可能共同在同一个 Directory 树中：

*  Data 树由 Directory Entry 中 OffsetToData 指出
 *  String 树由 Directory Entry 中 Name 指出

这种分枝的策略是区别是：

### 6.3.1 Data 树 ###

在 **root** 节点的 Entry 中，当 **OffsetToData 的 Bit31 为 1** 时，由该 Entry 伸出的是 Data 树，此时由该 Entry 指向树分枝中的所有 Entry 的 Name 都是 ID 值，

再回过头来看一看 ***hellworld.exe*** 的 **root 节点 ：**

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>// Driectory: (root)<br> 00419000&nbsp; 00 00 00 00&nbsp;<br> 00419004&nbsp; 00 00 00 00&nbsp;<br> 00419008&nbsp; 00 00&nbsp;<br> 0041900A&nbsp; 00 00&nbsp;<br> 0041900C&nbsp; 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfNameEntries<br> 0041900E&nbsp; 07 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfIdEntries</p> <p>// entry[0]<br> 00419010&nbsp; 03 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 3 (ICON)<br> 00419014&nbsp; 48 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000048</p> <p>// entry[1]<br> 00419018&nbsp; 04 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 4 (MENU)<br> 0041901C&nbsp; D8 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x800000D8</p> <p>// entry[2]<br> 00419020&nbsp; 05 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 5 (DIALOG)<br> 00419024&nbsp; F0 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x800000F0</p> <p>// entry[3]<br> 00419028&nbsp; 06 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 6 (STRING)<br> 0041902C&nbsp; 08 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000180</p> <p><br> // entry[4]<br> 00419030&nbsp; 09 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 9 (ACCELERATOR)<br> 00419034&nbsp; 20 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000120</p> <p>// entry[5]<br> 00419038&nbsp; 0E 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 0E (GROUP_ICON)<br> 0041903C&nbsp; 38 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000138</p> <p><br> // entry[6]<br> 00419040&nbsp; 18 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 0x18 (MAINFEST)<br> 00419044&nbsp; 58 01 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000158</p> </td> 
  </tr> 
 </tbody> 
</table>

上面的 **root 节点长出 7 个分枝**，每个分枝都由 Entry 指出，**7** 个分枝的 Entry 的 Name 都是 ID 值

因此 ***helloworld.exe*** 资源树中所有分枝都是 Data 树，它不存在 String 树

### 6.3.2 String 树 ###

当 root 节点的 Entry 中 **Name 域 Bit31 为 1** 时，Name 指向 String，这个 String 标识整个分枝，由这个 Entry 长出来的树枝都是 String 树

事实上，对一个 windows 典型资源几乎都是用 ID 来标识，而不是用 String 来标识。

## 7. 追踪 helloworld.exe 的资源树中的一条分枝 ##

现在我们从 root 节点开始到末端的叶子，来看一看 ***helloworld.exe*** 的一条分枝情况：

### （1）root 节点 ###

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>// Driectory: (root)<br> <strong>00419000</strong>&nbsp; 00 00 00 00&nbsp;<br> 00419004&nbsp; 00 00 00 00&nbsp;<br> 00419008&nbsp; 00 00&nbsp;<br> 0041900A&nbsp; 00 00&nbsp;<br> 0041900C&nbsp; 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfNameEntries<br> 0041900E&nbsp; 07 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfIdEntries</p> <p>// entry[0]<br> 00419010&nbsp; 03 00 00 00&nbsp;&nbsp;&nbsp;&nbsp; // ID = 3 (ICON)<br> 00419014&nbsp; 48 00 00 80&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000048</p> </td> 
  </tr> 
 </tbody> 
</table>

它的第 1 个分枝是 Data 分枝，**ID = 3** 它是一个 **ICON** 资源分枝树，下一个节点在 **0x00419048** (0x00419000 + 0x00000048）

### （2）下一个节点 ###

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p><br> // Directory<br> <strong><span style="color:#FF0000">00419048</span></strong>&nbsp; 00 00 00 00&nbsp;<br> 0041904C&nbsp; 00 00 00 00<br> 00419050&nbsp; 00 00&nbsp;<br> 00419052&nbsp; 00 00&nbsp;<br> 00419054&nbsp; 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfNameEntries<br> 00419056&nbsp; 10 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // NumberOfIdEntries</p> <p><br> // Entry[0]<br> 00419058&nbsp; 01 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ID = 01<br> 0041905C&nbsp; 70 01 00 80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000170</p> <p>00419060&nbsp; 02 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ID = 02<br> 00419064&nbsp; 88 01 00 80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x80000188</p> <p>00419068&nbsp; 03 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ID = 03<br> 0041906C&nbsp; A0 01 00 80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x800001A0</p> <p>00419070&nbsp; 04 00 00 00&nbsp;<br> 00419074&nbsp; B8 01 00 80</p> <p>00419078&nbsp; 05 00 00 00&nbsp;<br> 0041907C&nbsp; D0 01 00 80</p> <p>00419080&nbsp; 06 00 00 00&nbsp;<br> 00419084&nbsp; E8 01 00 80</p> <p>00419088&nbsp; 07 00 00 00&nbsp;<br> 0041908C&nbsp; 00 02 00 80</p> <p>00419090&nbsp; 08 00 00 00&nbsp;<br> 00419094&nbsp; 18 02 00 80</p> <p>00419098&nbsp; 09 00 00 00&nbsp;<br> 0041909C&nbsp; 30 02 00 80</p> <p>004190A0&nbsp; 0A 00 00 00&nbsp;<br> 004190A4&nbsp; 48 02 00 80</p> <p>004190A8&nbsp; 0B 00 00 00&nbsp;<br> 004190AC&nbsp; 60 02 00 80</p> <p>004190B0&nbsp; 0C 00 00 00&nbsp;<br> 004190B4&nbsp; 78 02 00 80</p> <p>004190B8&nbsp; 0D 00 00 00&nbsp;<br> 004190BC&nbsp; 90 02 00 80</p> <p>004190C0&nbsp; 0E 00 00 00&nbsp;<br> 004190C4&nbsp; A8 02 00 80</p> <p>004190C8&nbsp; 0F 00 00 00&nbsp;<br> 004190CC&nbsp; C0 02 00 80</p> <p>// Entry[15]<br> 004190D0&nbsp; 10 00 00 00&nbsp;<br> 004190D4&nbsp; D8 02 00 80</p> </td> 
  </tr> 
 </tbody> 
</table>

在这个节点中，有 **16** 个 Entry，也一个庞大的分枝。我们只看第 1 个分枝情况：

*  ID = 01
 *  OffsetToData = 0x80000170

说明再下一个节点在 **0x00419170** 位置上，它的 ID 值为 1，这些 Entry 的排列顺序是以 ID 值升序排列的。在子树里的 ID 值并没什么意义，只有在 root 节点里的 ID 里才代表着资源类型。

### （3）再下一个节点 ###

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>// Directory<br> <span style="color:#FF0000"><strong>00419170</strong></span>&nbsp; 00 00 00 00&nbsp;<br> 00419174&nbsp; 00 00 00 00&nbsp;<br> 00419178&nbsp; 00 00&nbsp;<br> 0041917A&nbsp; 00 00&nbsp;<br> 0041917C&nbsp; 00 00&nbsp;<br> 0041917E&nbsp; 01 00</p> <p>// Entry[0]<br> 00419180&nbsp; 09 04 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ID = 0x409<br> 00419184&nbsp; 98 03 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ****** IMAGE_RESOURCE_DATA_ENTRY: 0x00000398</p> </td> 
  </tr> 
 </tbody> 
</table>

这个节点里只有 **1** 个 Entry，这个 Entry 的 **OffsetToData** 值是 **0x00000398**，那么它**指向 Data Entry** 而不是下一个节点。它个 Data Entry 位置在 **0x00419398**

### （4）它的 Data Entry ###

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>// IMAGE_RESOURCE_DATA_ENTRY<br> <strong><span style="color:#FF0000">00419398</span></strong>&nbsp; A8 98 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OffsetToData = 0x000198A8<br> 0041939C&nbsp; E8 02 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Size = 0x02E8<br> 004193A0&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Codepage<br> 004193AC&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Reserved</p> </td> 
  </tr> 
 </tbody> 
</table>

最终的 Data 数据区在 **0x000198A8**，注意这个值是基于 ImageBase 的，而不是基于 resource table，因此 Data 数据区在映像的 **0x004198A8**（**ImageBase + OffsetToData**）

### （5）Data 数据区 ###

下面摘取一部分数据：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>Offset(h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F</p> <p>004198A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 28 00 00 00 20 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; .(... ...<br> 004198B0&nbsp; 40 00 00 00 01 00 04 00 00 00 00 00 00 00 00 00&nbsp; @...............<br> 004198C0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 004198D0&nbsp; 00 00 00 00 00 00 80 00 00 80 00 00 00 80 80 00&nbsp; ......€..€...€€.<br> 004198E0&nbsp; 80 00 00 00 80 00 80 00 80 80 00 00 80 80 80 00&nbsp; €...€.€.€€..€€€.<br> 004198F0&nbsp; C0 C0 C0 00 00 00 FF 00 00 FF 00 00 00 FF FF 00&nbsp; ààà...?..?...??.<br> 00419900&nbsp; FF 00 00 00 FF 00 FF 00 FF FF 00 00 FF FF FF 00&nbsp; ?...?.?.??..???.<br> 00419910&nbsp; AA AA AA AA AA AA AA AA AA AA AA AA AA AA AA AA&nbsp; aaaaaaaaaaaaaaaa<br> 00419920&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00419930&nbsp; 77 77 77 77 77 77 77 77 77 77 77 77 77 77 77 70&nbsp; wwwwwwwwwwwwwwwp<br> 00419940&nbsp; 78 88 88 88 88 88 88 88 88 88 88 88 88 88 88 70&nbsp; x??????????????p<br> 00419950&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419960&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419970&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419980&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419990&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 004199A0&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 004199B0&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 004199C0&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 004199D0&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 004199E0&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 004199F0&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A00&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A10&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A20&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A30&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A40&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A50&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A60&nbsp; 78 7F FF FF FF FF FF FF FF FF FF FF FF FF F8 70&nbsp; x.?????????????p<br> 00419A70&nbsp; 78 77 77 77 77 77 77 77 77 77 77 77 77 77 78 70&nbsp; xwwwwwwwwwwwwwxp<br> 00419A80&nbsp; 78 88 88 88 88 88 88 88 88 88 88 88 88 88 88 70&nbsp; x??????????????p<br> 00419A90&nbsp; 78 44 44 44 44 44 44 44 44 44 40 00 00 00 00 70&nbsp;&nbsp;<a href="mailto:xDDDDDDDDD@....p" rel="nofollow">xDDDDDDDDD@....p</a><br> 00419AA0&nbsp; 78 44 44 44 44 44 44 44 44 44 48 80 88 08 80 70&nbsp; xDDDDDDDDDH€?.€p<br> 00419AB0&nbsp; 78 44 44 44 44 44 44 44 44 44 48 80 88 08 80 70&nbsp; xDDDDDDDDDH€?.€p<br> 00419AC0&nbsp; 78 44 44 44 44 44 44 44 44 44 44 44 44 44 44 70&nbsp; xDDDDDDDDDDDDDDp<br> 00419AD0&nbsp; 78 88 88 88 88 88 88 88 88 88 88 88 88 88 88 70&nbsp; x??????????????p<br> 00419AE0&nbsp; 77 77 77 77 77 77 77 77 77 77 77 77 77 77 77 70&nbsp; wwwwwwwwwwwwwwwp<br> 00419AF0&nbsp; AA AA AA AA AA AA AA AA AA AA AA AA AA AA AA AA&nbsp; aaaaaaaaaaaaaaaa<br> </p> </td> 
  </tr> 
 </tbody> 
</table>

这个数据组成特定的数据格式。:)

--------------------

### 版权 mik 所有，转载请注明出处 ###

[http_msdn.microsoft.com_en-us_library_ms648009_VS.85_.aspx]: http://msdn.microsoft.com/en-us/library/ms648009%28VS.85%29.aspx
[resource_table.png]: http://www.mouseos.com/images/resource_table.png
[resource_node.png]: http://www.mouseos.com/images/resource_node.png