WinPE基礎知識之頭部

1、dos頭

//

dos mz頭，大小為64個位元組
typedef struct
_image_dos_header  image_dos_header, *pimage_dos_header;

dos mz頭下面是dos stub,整個dos stub是乙個位元組快，其內容隨著鏈結時使用的鏈結器不同而不同，而且長度不固定。

2、nt頭

//

nt 頭
typedef struct
_image_nt_headers  image_nt_headers32, *pimage_nt_headers32;

（1）緊跟在dos stub後面的是pe頭標識

佔四個位元組，內容固定為「pe\0\0「。

（2）標準pe頭、檔案頭、coff頭，佔20個位元組

3、檔案頭

typedef struct

_image_file_header  image_file_header, *pimage_file_header;

4、擴充套件pe頭

//

32位程式當中擴充套件頭的大小為224個位元組
typedef struct
_image_optional_header  image_optional_header32, *pimage_optional_header32;

//

資料目錄項
typedef struct
_image_data_directory  image_data_directory, *pimage_data_directory;

struct

image_data_directory_array datadirarray            
[0]struct image_data_directory export        //
匯出表[1]struct image_data_directory import        //
匯入表[2]struct image_data_directory resource        //
資源表[3]struct image_data_directory exception    //
異常表[4]struct image_data_directory security        //
安全表[5]struct image_data_directory baserelocationtable    //
重定位表    
[6]struct image_data_directory debugdirectory        //
除錯資訊
版權資訊        
[8]struct image_data_directory globalptr    //
全域性ptr
[9]struct image_data_directory tlsdirectory //
執行緒本地儲存
[10]struct image_data_directory loadconfigurationdirectory  //
配置載入表        
[11]struct image_data_directory boundimportdirectory        //
繫結匯入表
[12]struct image_data_directory importaddresstable            //
匯入函式位址表
[13]struct image_data_directory delayloadimportdescriptors  //
延遲載入表
[14]struct image_data_directory comruntimedescriptor        //
clr頭
[15]struct image_data_directory reserved     //
預留

6、區段頭表

//

節表項typedef struct
_image_section_header  misc;
dword   virtualaddress;          
//節區的rva位址    
dword   sizeofrawdata;           //
在檔案中對齊後的尺寸
dword   pointertorawdata;        //
在檔案中的偏移
dword   pointertorelocations;    //
在obj檔案中使用
dword   pointertolinenumbers;    //
行號表的位置（供除錯使用）
word    numberofrelocations;     //
在obj檔案中使用
word    numberoflinenumbers;     //
行號表中行號的數量
dword   characteristics;         //
節的屬性
} image_section_header, *pimage_section_header;

1

//rva 轉 foa
2 dword rva2foa(image_nt_headers*pnt, dword dwrva)313
}14return -1
;15 }

WinPE基礎知識之匯入表

匯入表 結構體陣列，以乙個全零元素為結尾，每乙個陣列元素，代表乙個pe檔案匯入資訊 匯入表儲存的是從其它pe檔案匯入過來的函式名 序號，載入到記憶體之後，還儲存這些函式的位址 typedef struct image import descriptor dummyunionname dword ti...

WinPE基礎知識之匯出表

匯出的東西包括函式 變數 類 位址，序號，函式 變數 類 名 typedef struct image export directory image export directory,pimage export directory a 匯出表應該被安排在.edata中，不過這個段一般都會合併到.rd...

WinPE基礎知識之重定位表

typedef struct image base relocation image base relocation typedef image base relocation unaligned pimage base relocation 1 當重定位發生的時候，只需知道現在pe檔案的載入基址，...