小甲鱼PE详解之IMAGE_OPTIONAL_HEADER32 结构定义即各个属性的作用（PE详解03）

绝地灬酷狼 2023-10-12 03:06 23阅读 0赞

咱接着往下讲解IMAGE\_OPTIONAL\_HEADER32 结构定义即各个属性的作用！

（视频教程：[http://fishc.com/a/shipin/jiemixilie/][http_fishc.com_a_shipin_jiemixilie]）

接着我们来谈谈 IMAGE\_OPTIONAL\_HEADER 结构，正如名字的意思，这是一个可选映像头，是一个可选的结构，但是呢，实际上上节课我们讲解的 IMAGE\_FILE\_HEADER 结构远远不足以来定义 PE 文件的属性。因此，这些属性在 IMAGE\_OPTIONAL\_HEADER 结构中进行定义。

因此这两个结构联合起来，才是一个完整的 “PE文件结构” 。

那么我们接着就应该顺理成章地来谈谈 IMAGE\_OPTIONAL\_HEADER32 结构的定义：（啥？结构不会，先看看小甲鱼童鞋的[《零基础入门学习C语言》][C]关于结构方面的章节吧~）

typedef struct \_IMAGE\_OPTIONAL\_HEADER   
\{   
    //  
    // Standard fields.    
    //  
\+18h    WORD    Magic;         // 标志字, ROM 映像（0107h）,普通可执行文件（010Bh）  
\+1Ah    BYTE      MajorLinkerVersion;     // 链接程序的主版本号  
\+1Bh    BYTE      MinorLinkerVersion;     // 链接程序的次版本号  
\+1Ch    DWORD   SizeOfCode;     // 所有含代码的节的总大小  
\+20h    DWORD   SizeOfInitializedData;    // 所有含已初始化数据的节的总大小  
\+24h    DWORD   SizeOfUninitializedData; // 所有含未初始化数据的节的大小  
\+28h    DWORD   AddressOfEntryPoint;    // 程序执行入口RVA  
\+2Ch    DWORD   BaseOfCode;      // 代码的区块的起始RVA  
\+30h    DWORD   BaseOfData;      // 数据的区块的起始RVA  
    //  
    // NT additional fields.    以下是属于NT结构增加的领域。  
    //  
\+34h    DWORD   ImageBase;      // 程序的首选装载地址  
\+38h    DWORD   SectionAlignment;      // 内存中的区块的对齐大小  
\+3Ch    DWORD   FileAlignment;      // 文件中的区块的对齐大小  
\+40h    WORD    MajorOperatingSystemVersion;  // 要求操作系统最低版本号的主版本号  
\+42h    WORD    MinorOperatingSystemVersion;  // 要求操作系统最低版本号的副版本号  
\+44h    WORD    MajorImageVersion;       // 可运行于操作系统的主版本号  
\+46h    WORD    MinorImageVersion;       // 可运行于操作系统的次版本号  
\+48h    WORD    MajorSubsystemVersion;  // 要求最低子系统版本的主版本号  
\+4Ah    WORD    MinorSubsystemVersion;  // 要求最低子系统版本的次版本号  
\+4Ch    DWORD   Win32VersionValue;       // 莫须有字段，不被病毒利用的话一般为0  
\+50h    DWORD   SizeOfImage;       // 映像装入内存后的总尺寸  
\+54h    DWORD   SizeOfHeaders;       // 所有头 + 区块表的尺寸大小  
\+58h    DWORD   CheckSum;       // 映像的校检和  
\+5Ch    WORD    Subsystem;       // 可执行文件期望的子系统  
\+5Eh    WORD    DllCharacteristics;       // DllMain()函数何时被调用，默认为 0  
\+60h    DWORD   SizeOfStackReserve;       // 初始化时的栈大小  
\+64h    DWORD   SizeOfStackCommit;       // 初始化时实际提交的栈大小  
\+68h    DWORD   SizeOfHeapReserve;        // 初始化时保留的堆大小  
\+6Ch    DWORD   SizeOfHeapCommit;        // 初始化时实际提交的堆大小  
\+70h    DWORD   LoaderFlags;        // 与调试有关，默认为 0   
\+74h    DWORD   NumberOfRvaAndSizes;  // 下边数据目录的项数，这个字段自Windows NT 发布以来        // 一直是16  
\+78h    IMAGE\_DATA\_DIRECTORY DataDirectory\[IMAGE\_NUMBEROF\_DIRECTORY\_ENTRIES\];  
       // 数据目录表  
\} IMAGE\_OPTIONAL\_HEADER32, \*PIMAGE\_OPTIONAL\_HEADER32;

事实上，这个结构中的大部分字段都不重要，大家可以从注释中理解它们的含义，小甲鱼将比较重要的字段在下边跟大家详细讲解。另外，这玩意千万不要去背啊，我们要把绝大多数的时间拿来改变，而不是记住。不用做笔记，把这篇文章转载到您的博客就行（最好注明：小甲鱼是帅哥）吼 吼 ^\_^

●  AddressOfEntryPoint字段

指出文件被执行时的入口地址，这是一个RVA地址（RVA的含义在下一节中详细介绍）。如果在一个可执行文件上附加了一段代码并想让这段代码首先被执行，那么只需要将这个入口地址指向附加的代码就可以了。

●  ImageBase字段

指出文件的优先装入地址。也就是说当文件被执行时，如果可能的话，Windows优先将文件装入到由ImageBase字段指定的地址中，只有指定的地址已经被\*\*模块使用时，文件才被装入到\*\*地址中。链接器产生可执行文件的时候对应这个地址来生成机器码，所以当文件被装入这个地址时不需要进行重定位操作，装入的速度最快，如果文件被装载到\*\*地址的话，将不得不进行重定位操作，这样就要慢一点。

对于EXE文件来说，由于每个文件总是使用独立的虚拟地址空间，优先装入地址不可能被\*\*模块占据，所以EXE总是能够按照这个地址装入，这也意味着EXE文件不再需要重定位信息。对于DLL文件来说，由于多个DLL文件全部使用宿主EXE文件的地址空间，不能保证优先装入地址没有被\*\*的DLL使用，所以DLL文件中必须包含重定位信息以防万一。因此，在前面介绍的 IMAGE\_FILE\_HEADER 结构的 Characteristics 字段中，DLL 文件对应的 IMAGE\_FILE\_RELOCS\_STRIPPED 位总是为0，而EXE文件的这个标志位总是为1。

在链接的时候，可以通过对link.exe指定/base:address选项来自定义优先装入地址，如果不指定这个选项的话，一般EXE文件的默认优先装入地址被定为00400000h，而DLL文件的默认优先装入地址被定为10000000h。

●  SectionAlignment 字段和 FileAlignment字段

SectionAlignment字段指定了节被装入内存后的对齐单位。也就是说，每个节被装入的地址必定是本字段指定数值的整数倍。而FileAlignment字段指定了节存储在磁盘文件中时的对齐单位。

●  Subsystem字段

指定使用界面的子系统，它的取值如表17.3所示。这个字段决定了系统如何为程序建立初始的界面，链接时的/subsystem:\*\*选项指定的就是这个字段的值，在前面章节的编程中我们早已知道：如果将子系统指定为Windows CUI，那么系统会自动为程序建立一个控制台窗口，而指定为Windows GUI的话，窗口必须由程序自己建立。

界面子系统的取值和含义

●  DataDirectory字段

这个字段可以说是最重要的字段之一，它由16个相同的IMAGE\_DATA\_DIRECTORY结构组成，虽然PE文件中的数据是按照装入内存后的页属性归类而被放在不同的节中的，但是这些处于各个节中的数据按照用途可以被分为导出表、导入表、资源、重定位表等数据块，这16个IMAGE\_DATA\_DIRECTORY结构就是用来定义多种不同用途的数据块的（如表17.4所示）。IMAGE\_DATA\_DIRECTORY结构的定义很简单，它仅仅指出了某种数据块的位置和长度。

IMAGE\_DATA\_DIRECTORY STRUCT

VirtualAddress DWORD ? ；数据的起始RVA

isize DWORD ? ；数据块的长度

IMAGE\_DATA\_DIRECTORY ENDS

数据目录列表的含义

<table style="border-collapse:collapse;font-size:14px;line-height:21px;width:506px;"> 
 <tbody> 
 <tr> 
 <td> 索&nbsp;&nbsp;&nbsp;引 </td> 
 <td> 索引值在Windows.inc中的预定义值 </td> 
 <td> 对应的数据块 </td> 
 </tr> 
 <tr> 
 <td> 0 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_EXPORT </td> 
 <td> 导出表 </td> 
 </tr> 
 <tr> 
 <td> 1 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_IMPORT </td> 
 <td> 导入表 </td> 
 </tr> 
 <tr> 
 <td> 2 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_RESOURCE </td> 
 <td> 资源 </td> 
 </tr> 
 <tr> 
 <td> 3 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_EXCEPTION </td> 
 <td> 异常（具体资料不详） </td> 
 </tr> 
 <tr> 
 <td> 4 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_SECURITY </td> 
 <td> 安全（具体资料不详） </td> 
 </tr> 
 <tr> 
 <td> 5 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_BASERELOC </td> 
 <td> 重定位表 </td> 
 </tr> 
 <tr> 
 <td> 6 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_DEBUG </td> 
 <td> 调试信息 </td> 
 </tr> 
 <tr> 
 <td> 7 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_ARCHITECTURE </td> 
 <td> 版权信息 </td> 
 </tr> 
 <tr> 
 <td> 8 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_GLOBALPTR </td> 
 <td> 具体资料不详 </td> 
 </tr> 
 <tr> 
 <td> 9 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_TLS </td> 
 <td> Thread Local Storage </td> 
 </tr> 
 <tr> 
 <td> 10 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG </td> 
 <td> 具体资料不详 </td> 
 </tr> 
 <tr> 
 <td> 11 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT </td> 
 <td> 具体资料不详 </td> 
 </tr> 
 <tr> 
 <td> 12 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_IAT </td> 
 <td> 导入函数地址表 </td> 
 </tr> 
 <tr> 
 <td> 13 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT </td> 
 <td> 具体资料不详 </td> 
 </tr> 
 <tr> 
 <td> 14 </td> 
 <td> IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR </td> 
 <td> 具体资料不详 </td> 
 </tr> 
 <tr> 
 <td> 15 </td> 
 <td> 未使用 </td> 
 <td> </td> 
 </tr> 
 </tbody> 
</table>

在PE文件中寻找特定的数据时就是从这些IMAGE\_DATA\_DIRECTORY结构开始的，比如要存取资源，那么必须从第3个IMAGE\_DATA\_DIRECTORY结构（索引为2）中得到资源数据块的大小和位置；同理，如果要查看PE文件导入了哪些DLL文件的哪些API函数，那就必须首先从第2个IMAGE\_DATA\_DIRECTORY结构得到导入表的位置和大小。

转载于:https://www.cnblogs.com/kuangke/p/5393514.html

[http_fishc.com_a_shipin_jiemixilie]: http://fishc.com/a/shipin/jiemixilie/
[C]: http://fishc.com/a/shipin/c/