當前位置：首頁 > 编程资源 > 编程问答 >内容正文

编程问答

【转】PE文件结构详解--（完整版）

發布時間：2023/12/10 编程问答 35 豆豆

生活随笔收集整理的這篇文章主要介紹了【转】PE文件结构详解--（完整版）小編覺得挺不錯的,現在分享給大家,幫大家做個參考.

（一）基本概念

PE（Portable Execute）文件是Windows下可執行文件的總稱，常見的有DLL，EXE，OCX，SYS等，事實上，一個文件是否是PE文件與其擴展名無關，PE文件可以是任何擴展名。那Windows是怎么區分可執行文件和非可執行文件的呢？我們調用LoadLibrary傳遞了一個文件名，系統是如何判斷這個文件是一個合法的動態庫呢？這就涉及到PE文件結構了。

PE文件的結構一般來說如下圖所示：從起始位置開始依次是DOS頭，NT頭，節表以及具體的節。

DOS頭是用來兼容MS-DOS操作系統的，目的是當這個文件在MS-DOS上運行時提示一段文字，大部分情況下是：This program cannot be run in DOS mode.還有一個目的，就是指明NT頭在文件中的位置。
NT頭包含windows PE文件的主要信息，其中包括一個‘PE’字樣的簽名，PE文件頭（IMAGE_FILE_HEADER）和PE可選頭（IMAGE_OPTIONAL_HEADER32），頭部的詳細結構以及其具體意義在PE文件頭文章中詳細描述。
節表：是PE文件后續節的描述，windows根據節表的描述加載每個節。
節：每個節實際上是一個容器，可以包含代碼、數據等等，每個節可以有獨立的內存權限，比如代碼節默認有讀/執行權限，節的名字和數量可以自己定義，未必是上圖中的三個。
當一個PE文件被加載到內存中以后，我們稱之為“映象”（image），一般來說，PE文件在硬盤上和在內存里是不完全一樣的，被加載到內存以后其占用的虛擬地址空間要比在硬盤上占用的空間大一些，這是因為各個節在硬盤上是連續的，而在內存中是按頁對齊的，所以加載到內存以后節之間會出現一些“空洞”。

因為存在這種對齊，所以在PE結構內部，表示某個位置的地址采用了兩種方式，針對在硬盤上存儲文件中的地址，稱為原始存儲地址或物理地址表示距離文件頭的偏移；另外一種是針對加載到內存以后映象中的地址，稱為相對虛擬地址（RVA），表示相對內存映象頭的偏移。

然而CPU的某些指令是需要使用絕對地址的，比如取全局變量的地址，傳遞函數的地址編譯以后的匯編指令中肯定需要用到絕對地址而不是相對映象頭的偏移，因此PE文件會建議操作系統將其加載到某個內存地址（這個叫基地址），編譯器便根據這個地址求出代碼中一些全局變量和函數的地址，并將這些地址用到對應的指令中。例如在IDA里看上去是這個樣子：

這種表示方式叫做虛擬地址（VA）。

也許有人要問，既然有VA這么簡單的表示方式為什么還要有前面的RVA呢？因為雖然PE文件為自己指定加載的基地址，但是windows有茫茫多的DLL，而且每個軟件也有自己的DLL，如果指定的地址已經被別的DLL占了怎么辦？如果PE文件無法加載到預期的地址，那么系統會幫他重新選擇一個合適的基地址將他加載到此處，這時原有的VA就全部失效了，NT頭保存了PE文件加載所需的信息，在不知道PE會加載到哪個基地址之前，VA是無效的，所以在PE文件頭中大部分是使用RVA來表示地址的，而在代碼中是用VA表示全局變量和函數地址的。那又有人要問了，既然加載基址變了以后VA都失效了，那存在于代碼中的那些VA怎么辦呢？答案是：重定位。系統有自己的辦法修正這些值，到后續重定位表的文章中會詳細描述。既然有重定位，為什么NT頭不能依靠重定位采用VA表示地址呢（十萬個為什么）？因為不是所有的PE都有重定位，早期的EXE就是沒有重定位的。

我們都知道PE文件可以導出函數讓其他的PE文件使用，也可以從其他PE文件導入函數，這些是如何做到的？PE文件通過導出表指明自己導出那些函數，通過導入表指明需要從哪些模塊導入哪些函數。導入和導出表的具體結構會在單獨的文章中詳細解釋。

（二）可執行文件頭

在PE文件結構詳解（一）基本概念里，解釋了一些PE文件的一些基本概念，從這篇開始，將詳細講解PE文件中的重要結構。

了解一個文件的格式，最應該首先了解的就是這個文件的文件頭的含義，因為幾乎所有的文件格式，重要的信息都包含在頭部，順著頭部的信息，可以引導系統解析整個文件。所以，我們先來認識一下PE文件的頭部格式。還記得上篇里的那個圖嗎？

DOS頭和NT頭就是PE文件中兩個重要的文件頭。

一、DOS頭
DOS頭的作用是兼容MS-DOS操作系統中的可執行文件，對于32位PE文件來說，DOS所起的作用就是顯示一行文字，提示用戶：我需要在32位windows上才可以運行。我認為這是個善意的玩笑，因為他并不像顯示的那樣不能運行，其實已經運行了，只是在DOS上沒有干用戶希望看到的工作而已，好吧，我承認這不是重點。但是，至少我們看一下這個頭是如何定義的：

typedef struct _IMAGE_DOS_HEADER { ? ? ?// DOS .EXE header

? ? WORD ? e_magic; ? ? ? ? ? ? ? ? ? ? // Magic number

? ? WORD ? e_cblp; ? ? ? ? ? ? ? ? ? ? ?// Bytes on last page of file

? ? WORD ? e_cp; ? ? ? ? ? ? ? ? ? ? ? ?// Pages in file

? ? WORD ? e_crlc; ? ? ? ? ? ? ? ? ? ? ?// Relocations

? ? WORD ? e_cparhdr; ? ? ? ? ? ? ? ? ? // Size of header in paragraphs

? ? WORD ? e_minalloc; ? ? ? ? ? ? ? ? ?// Minimum extra paragraphs needed

? ? WORD ? e_maxalloc; ? ? ? ? ? ? ? ? ?// Maximum extra paragraphs needed

? ? WORD ? e_ss; ? ? ? ? ? ? ? ? ? ? ? ?// Initial (relative) SS value

? ? WORD ? e_sp; ? ? ? ? ? ? ? ? ? ? ? ?// Initial SP value

? ? WORD ? e_csum; ? ? ? ? ? ? ? ? ? ? ?// Checksum

? ? WORD ? e_ip; ? ? ? ? ? ? ? ? ? ? ? ?// Initial IP value

? ? WORD ? e_cs; ? ? ? ? ? ? ? ? ? ? ? ?// Initial (relative) CS value

? ? WORD ? e_lfarlc; ? ? ? ? ? ? ? ? ? ?// File address of relocation table

? ? WORD ? e_ovno; ? ? ? ? ? ? ? ? ? ? ?// Overlay number

? ? WORD ? e_res[4]; ? ? ? ? ? ? ? ? ? ?// Reserved words

? ? WORD ? e_oemid; ? ? ? ? ? ? ? ? ? ? // OEM identifier (for e_oeminfo)

? ? WORD ? e_oeminfo; ? ? ? ? ? ? ? ? ? // OEM information; e_oemid specific

? ? WORD ? e_res2[10]; ? ? ? ? ? ? ? ? ?// Reserved words

? ? LONG ? e_lfanew; ? ? ? ? ? ? ? ? ? ?// File address of new exe header

? } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

我們只需要關注兩個域：

e_magic：一個WORD類型，值是一個常數0x4D5A，用文本編輯器查看該值位‘MZ’，可執行文件必須都是'MZ'開頭。

e_lfanew：為32位可執行文件擴展的域，用來表示DOS頭之后的NT頭相對文件起始地址的偏移。

二、NT頭
順著DOS頭中的e_lfanew，我們很容易可以找到NT頭，這個才是32位PE文件中最有用的頭，定義如下:

typedef struct _IMAGE_NT_HEADERS {

? ? DWORD Signature;

? ? IMAGE_FILE_HEADER FileHeader;

? ? IMAGE_OPTIONAL_HEADER32 OptionalHeader;

} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

下圖是一張真實的PE文件頭結構以及其各個域的取值：

Signature：類似于DOS頭中的e_magic，其高16位是0，低16是0x4550，用字符表示是'PE‘。

IMAGE_FILE_HEADER是PE文件頭，c語言的定義是這樣的：

typedef struct _IMAGE_FILE_HEADER {

? ? WORD ? ?Machine;

? ? WORD ? ?NumberOfSections;

? ? DWORD ? TimeDateStamp;

? ? DWORD ? PointerToSymbolTable;

? ? DWORD ? NumberOfSymbols;

? ? WORD ? ?SizeOfOptionalHeader;

? ? WORD ? ?Characteristics;

} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

每個域的具體含義如下：

Machine：該文件的運行平臺，是x86、x64還是I64等等，可以是下面值里的某一個。

#define IMAGE_FILE_MACHINE_UNKNOWN ? ? ? ? ? 0

#define IMAGE_FILE_MACHINE_I386 ? ? ? ? ? ? ?0x014c ?// Intel 386.

#define IMAGE_FILE_MACHINE_R3000 ? ? ? ? ? ? 0x0162 ?// MIPS little-endian, 0x160 big-endian

#define IMAGE_FILE_MACHINE_R4000 ? ? ? ? ? ? 0x0166 ?// MIPS little-endian

#define IMAGE_FILE_MACHINE_R10000 ? ? ? ? ? ?0x0168 ?// MIPS little-endian

#define IMAGE_FILE_MACHINE_WCEMIPSV2 ? ? ? ? 0x0169 ?// MIPS little-endian WCE v2

#define IMAGE_FILE_MACHINE_ALPHA ? ? ? ? ? ? 0x0184 ?// Alpha_AXP

#define IMAGE_FILE_MACHINE_SH3 ? ? ? ? ? ? ? 0x01a2 ?// SH3 little-endian

#define IMAGE_FILE_MACHINE_SH3DSP ? ? ? ? ? ?0x01a3

#define IMAGE_FILE_MACHINE_SH3E ? ? ? ? ? ? ?0x01a4 ?// SH3E little-endian

#define IMAGE_FILE_MACHINE_SH4 ? ? ? ? ? ? ? 0x01a6 ?// SH4 little-endian

#define IMAGE_FILE_MACHINE_SH5 ? ? ? ? ? ? ? 0x01a8 ?// SH5

#define IMAGE_FILE_MACHINE_ARM ? ? ? ? ? ? ? 0x01c0 ?// ARM Little-Endian

#define IMAGE_FILE_MACHINE_THUMB ? ? ? ? ? ? 0x01c2

#define IMAGE_FILE_MACHINE_AM33 ? ? ? ? ? ? ?0x01d3

#define IMAGE_FILE_MACHINE_POWERPC ? ? ? ? ? 0x01F0 ?// IBM PowerPC Little-Endian

#define IMAGE_FILE_MACHINE_POWERPCFP ? ? ? ? 0x01f1

#define IMAGE_FILE_MACHINE_IA64 ? ? ? ? ? ? ?0x0200 ?// Intel 64

#define IMAGE_FILE_MACHINE_MIPS16 ? ? ? ? ? ?0x0266 ?// MIPS

#define IMAGE_FILE_MACHINE_ALPHA64 ? ? ? ? ? 0x0284 ?// ALPHA64

#define IMAGE_FILE_MACHINE_MIPSFPU ? ? ? ? ? 0x0366 ?// MIPS

#define IMAGE_FILE_MACHINE_MIPSFPU16 ? ? ? ? 0x0466 ?// MIPS

#define IMAGE_FILE_MACHINE_AXP64 ? ? ? ? ? ? IMAGE_FILE_MACHINE_ALPHA64

#define IMAGE_FILE_MACHINE_TRICORE ? ? ? ? ? 0x0520 ?// Infineon

#define IMAGE_FILE_MACHINE_CEF ? ? ? ? ? ? ? 0x0CEF

#define IMAGE_FILE_MACHINE_EBC ? ? ? ? ? ? ? 0x0EBC ?// EFI Byte Code

#define IMAGE_FILE_MACHINE_AMD64 ? ? ? ? ? ? 0x8664 ?// AMD64 (K8)

#define IMAGE_FILE_MACHINE_M32R ? ? ? ? ? ? ?0x9041 ?// M32R little-endian

#define IMAGE_FILE_MACHINE_CEE ? ? ? ? ? ? ? 0xC0EE

NumberOfSections：該PE文件中有多少個節，也就是節表中的項數。

TimeDateStamp：PE文件的創建時間，一般有連接器填寫。

PointerToSymbolTable：COFF文件符號表在文件中的偏移。

NumberOfSymbols：符號表的數量。

SizeOfOptionalHeader：緊隨其后的可選頭的大小。

Characteristics：可執行文件的屬性，可以是下面這些值按位相或。

#define IMAGE_FILE_RELOCS_STRIPPED ? ? ? ? ? 0x0001 ?// Relocation info stripped from file.

#define IMAGE_FILE_EXECUTABLE_IMAGE ? ? ? ? ?0x0002 ?// File is executable ?(i.e. no unresolved externel references).

#define IMAGE_FILE_LINE_NUMS_STRIPPED ? ? ? ?0x0004 ?// Line nunbers stripped from file.

#define IMAGE_FILE_LOCAL_SYMS_STRIPPED ? ? ? 0x0008 ?// Local symbols stripped from file.

#define IMAGE_FILE_AGGRESIVE_WS_TRIM ? ? ? ? 0x0010 ?// Agressively trim working set

#define IMAGE_FILE_LARGE_ADDRESS_AWARE ? ? ? 0x0020 ?// App can handle >2gb addresses

#define IMAGE_FILE_BYTES_REVERSED_LO ? ? ? ? 0x0080 ?// Bytes of machine word are reversed.

#define IMAGE_FILE_32BIT_MACHINE ? ? ? ? ? ? 0x0100 ?// 32 bit word machine.

#define IMAGE_FILE_DEBUG_STRIPPED ? ? ? ? ? ?0x0200 ?// Debugging info stripped from file in .DBG file

#define IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP ? 0x0400 ?// If Image is on removable media, copy and run from the swap file.

#define IMAGE_FILE_NET_RUN_FROM_SWAP ? ? ? ? 0x0800 ?// If Image is on Net, copy and run from the swap file.

#define IMAGE_FILE_SYSTEM ? ? ? ? ? ? ? ? ? ?0x1000 ?// System File.

#define IMAGE_FILE_DLL ? ? ? ? ? ? ? ? ? ? ? 0x2000 ?// File is a DLL.

#define IMAGE_FILE_UP_SYSTEM_ONLY ? ? ? ? ? ?0x4000 ?// File should only be run on a UP machine

#define IMAGE_FILE_BYTES_REVERSED_HI ? ? ? ? 0x8000 ?// Bytes of machine word are reversed.

可以看出，PE文件頭定義了PE文件的一些基本信息和屬性，這些屬性會在PE加載器加載時用到，如果加載器發現PE文件頭中定義的一些屬性不滿足當前的運行環境，將會終止加載該PE。

另一個重要的頭就是PE可選頭，別看他名字叫可選頭，其實一點都不能少，不過，它在不同的平臺下是不一樣的，例如32位下是IMAGE_OPTIONAL_HEADER32，而在64位下是IMAGE_OPTIONAL_HEADER64。為了簡單起見，我們只看32位。

typedef struct _IMAGE_OPTIONAL_HEADER {

? ? WORD ? ?Magic;

? ? BYTE ? ?MajorLinkerVersion;

? ? BYTE ? ?MinorLinkerVersion;

? ? DWORD ? SizeOfCode;

? ? DWORD ? SizeOfInitializedData;

? ? DWORD ? SizeOfUninitializedData;

? ? DWORD ? AddressOfEntryPoint;

? ? DWORD ? BaseOfCode;

? ? DWORD ? BaseOfData;

? ? DWORD ? ImageBase;

? ? DWORD ? SectionAlignment;

? ? DWORD ? FileAlignment;

? ? WORD ? ?MajorOperatingSystemVersion;

? ? WORD ? ?MinorOperatingSystemVersion;

? ? WORD ? ?MajorImageVersion;

? ? WORD ? ?MinorImageVersion;

? ? WORD ? ?MajorSubsystemVersion;

? ? WORD ? ?MinorSubsystemVersion;

? ? DWORD ? Win32VersionValue;

? ? DWORD ? SizeOfImage;

? ? DWORD ? SizeOfHeaders;

? ? DWORD ? CheckSum;

? ? WORD ? ?Subsystem;

? ? WORD ? ?DllCharacteristics;

? ? DWORD ? SizeOfStackReserve;

? ? DWORD ? SizeOfStackCommit;

? ? DWORD ? SizeOfHeapReserve;

? ? DWORD ? SizeOfHeapCommit;

? ? DWORD ? LoaderFlags;

? ? DWORD ? NumberOfRvaAndSizes;

? ? IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];

} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

Magic：表示可選頭的類型。

#define IMAGE_NT_OPTIONAL_HDR32_MAGIC ? ? ?0x10b ?// 32位PE可選頭

#define IMAGE_NT_OPTIONAL_HDR64_MAGIC ? ? ?0x20b ?// 64位PE可選頭

#define IMAGE_ROM_OPTIONAL_HDR_MAGIC ? ? ? 0x107 ?

MajorLinkerVersion和MinorLinkerVersion：鏈接器的版本號。

SizeOfCode：代碼段的長度，如果有多個代碼段，則是代碼段長度的總和。

SizeOfInitializedData：初始化的數據長度。

SizeOfUninitializedData：未初始化的數據長度。

AddressOfEntryPoint：程序入口的RVA，對于exe這個地址可以理解為WinMain的RVA。對于DLL，這個地址可以理解為DllMain的RVA，如果是驅動程序，可以理解為DriverEntry的RVA。當然，實際上入口點并非是WinMain，DllMain和DriverEntry，在這些函數之前還有一系列初始化要完成，當然，這些不是本文的重點。

BaseOfCode：代碼段起始地址的RVA。

BaseOfData：數據段起始地址的RVA。

ImageBase：映象（加載到內存中的PE文件）的基地址，這個基地址是建議，對于DLL來說，如果無法加載到這個地址，系統會自動為其選擇地址。

SectionAlignment：節對齊，PE中的節被加載到內存時會按照這個域指定的值來對齊，比如這個值是0x1000，那么每個節的起始地址的低12位都為0。

FileAlignment：節在文件中按此值對齊，SectionAlignment必須大于或等于FileAlignment。

MajorOperatingSystemVersion、MinorOperatingSystemVersion：所需操作系統的版本號，隨著操作系統版本越來越多，這個好像不是那么重要了。

MajorImageVersion、MinorImageVersion：映象的版本號，這個是開發者自己指定的，由連接器填寫。

MajorSubsystemVersion、MinorSubsystemVersion：所需子系統版本號。

Win32VersionValue：保留，必須為0。

SizeOfImage：映象的大小，PE文件加載到內存中空間是連續的，這個值指定占用虛擬空間的大小。

SizeOfHeaders：所有文件頭（包括節表）的大小，這個值是以FileAlignment對齊的。

CheckSum：映象文件的校驗和。

Subsystem：運行該PE文件所需的子系統，可以是下面定義中的某一個：

#define IMAGE_SUBSYSTEM_UNKNOWN ? ? ? ? ? ? ?0 ? // Unknown subsystem.

#define IMAGE_SUBSYSTEM_NATIVE ? ? ? ? ? ? ? 1 ? // Image doesn't require a subsystem.

#define IMAGE_SUBSYSTEM_WINDOWS_GUI ? ? ? ? ?2 ? // Image runs in the Windows GUI subsystem.

#define IMAGE_SUBSYSTEM_WINDOWS_CUI ? ? ? ? ?3 ? // Image runs in the Windows character subsystem.

#define IMAGE_SUBSYSTEM_OS2_CUI ? ? ? ? ? ? ?5 ? // image runs in the OS/2 character subsystem.

#define IMAGE_SUBSYSTEM_POSIX_CUI ? ? ? ? ? ?7 ? // image runs in the Posix character subsystem.

#define IMAGE_SUBSYSTEM_NATIVE_WINDOWS ? ? ? 8 ? // image is a native Win9x driver.

#define IMAGE_SUBSYSTEM_WINDOWS_CE_GUI ? ? ? 9 ? // Image runs in the Windows CE subsystem.

#define IMAGE_SUBSYSTEM_EFI_APPLICATION ? ? ?10 ?//

#define IMAGE_SUBSYSTEM_EFI_BOOT_SERVICE_DRIVER ?11 ? //

#define IMAGE_SUBSYSTEM_EFI_RUNTIME_DRIVER ? 12 ?//

#define IMAGE_SUBSYSTEM_EFI_ROM ? ? ? ? ? ? ?13

#define IMAGE_SUBSYSTEM_XBOX ? ? ? ? ? ? ? ? 14

#define IMAGE_SUBSYSTEM_WINDOWS_BOOT_APPLICATION 16

DllCharacteristics：DLL的文件屬性，只對DLL文件有效，可以是下面定義中某些的組合：

#define IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE 0x0040 ? ? // DLL can move.

#define IMAGE_DLLCHARACTERISTICS_FORCE_INTEGRITY ? ?0x0080 ? ? // Code Integrity Image

#define IMAGE_DLLCHARACTERISTICS_NX_COMPAT ? ?0x0100 ? ? // Image is NX compatible

#define IMAGE_DLLCHARACTERISTICS_NO_ISOLATION 0x0200 ? ? // Image understands isolation and doesn't want it

#define IMAGE_DLLCHARACTERISTICS_NO_SEH ? ? ? 0x0400 ? ? // Image does not use SEH. ?No SE handler may reside in this image

#define IMAGE_DLLCHARACTERISTICS_NO_BIND ? ? ?0x0800 ? ? // Do not bind this image.

// ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?0x1000 ? ? // Reserved.

#define IMAGE_DLLCHARACTERISTICS_WDM_DRIVER ? 0x2000 ? ? // Driver uses WDM model

// ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?0x4000 ? ? // Reserved.

#define IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE ? ? 0x8000

SizeOfStackReserve：運行時為每個線程棧保留內存的大小。
SizeOfStackCommit：運行時每個線程棧初始占用內存大小。

SizeOfHeapReserve：運行時為進程堆保留內存大小。

SizeOfHeapCommit：運行時進程堆初始占用內存大小。

LoaderFlags：保留，必須為0。

NumberOfRvaAndSizes：數據目錄的項數，即下面這個數組的項數。

DataDirectory：數據目錄，這是一個數組，數組的項定義如下：

typedef struct _IMAGE_DATA_DIRECTORY {

? ? DWORD ? VirtualAddress;

? ? DWORD ? Size;

} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

VirtualAddress：是一個RVA。
Size：是一個大小。

這兩個數有什么用呢？一個是地址，一個是大小，可以看出這個數據目錄項定義的是一個區域。那他定義的是什么東西的區域呢？前面說了，DataDirectory是個數組，數組中的每一項對應一個特定的數據結構，包括導入表，導出表等等，根據不同的索引取出來的是不同的結構，頭文件里定義各個項表示哪個結構，如下面的代碼所示：

#define IMAGE_DIRECTORY_ENTRY_EXPORT ? ? ? ? ?0 ? // Export Directory

#define IMAGE_DIRECTORY_ENTRY_IMPORT ? ? ? ? ?1 ? // Import Directory

#define IMAGE_DIRECTORY_ENTRY_RESOURCE ? ? ? ?2 ? // Resource Directory

#define IMAGE_DIRECTORY_ENTRY_EXCEPTION ? ? ? 3 ? // Exception Directory

#define IMAGE_DIRECTORY_ENTRY_SECURITY ? ? ? ?4 ? // Security Directory

#define IMAGE_DIRECTORY_ENTRY_BASERELOC ? ? ? 5 ? // Base Relocation Table

#define IMAGE_DIRECTORY_ENTRY_DEBUG ? ? ? ? ? 6 ? // Debug Directory

// ? ? ?IMAGE_DIRECTORY_ENTRY_COPYRIGHT ? ? ? 7 ? // (X86 usage)

#define IMAGE_DIRECTORY_ENTRY_ARCHITECTURE ? ?7 ? // Architecture Specific Data

#define IMAGE_DIRECTORY_ENTRY_GLOBALPTR ? ? ? 8 ? // RVA of GP

#define IMAGE_DIRECTORY_ENTRY_TLS ? ? ? ? ? ? 9 ? // TLS Directory

#define IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG ? ?10 ? // Load Configuration Directory

#define IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT ? 11 ? // Bound Import Directory in headers

#define IMAGE_DIRECTORY_ENTRY_IAT ? ? ? ? ? ?12 ? // Import Address Table

#define IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT ? 13 ? // Delay Load Import Descriptors

#define IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR 14 ? // COM Runtime descriptor

看到這么多的定義，大家估計要頭疼了，好不容易要把PE文件頭學習完了，又“從天而降”一大波的結構。不用緊張，有了前面的知識，后面的部分就迎刃而解了。下一篇開始將沿著這個數據目錄分解其余部分，繼續關注哦~
?

（三）PE導出表

上篇文章?PE文件結構詳解（二）可執行文件頭?的結尾出現了一個大數組，這個數組中的每一項都是一個特定的結構，通過函數獲取數組中的項可以用RtlImageDirectoryEntryToData函數，DataDirectory中的每一項都可以用這個函數獲取，函數原型如下：

PVOID NTAPI RtlImageDirectoryEntryToData(PVOID Base, BOOLEAN MappedAsImage, USHORT Directory, PULONG Size);

Base：模塊基地址。

MappedAsImage：是否映射為映象。

Directory：數據目錄項的索引。