分享
 
 
 

对PE资源的研究

王朝delphi·作者佚名  2006-01-08
窄屏简体版  字體: |||超大  

对PE资源的研究 作者:万重

主页:http://www.delphibox.com

邮箱:mantousoft@163.com

前言:没什么好说的,发现这方面的资料全是英文的,于是我一边研究,一边翻译,一边写出自己的心得。

希望大家尊重我的劳动成果,转贴保持完整。

资源一般使用树来保存,通常包含3层,在NT下,最高层是类型,然后是名字,最后是语言。一个PE文件是否包含资源文件,通常检测块表(Section Table)中是否含有'.rsrc',不过这个方法对有些PE文件无效。

一个类型表结构如下

—————————————

| RESOURCE DIRECTORY |

—————————————

| RESOURCE DATA |

—————————————

资源表1(Resource File Layout)

其中的资源目录(RESOURCE DIRECTORY)结构如下:

——————————————————————————

| RESOURCE FLAGS |

——————————————————————————

| TIME/DATE STAMP |

——————————————————————————

| MAJOR VERSION | MINOR VERSION |

——————————————————————————

| # NAME ENTRY | # ID ENTRY |

——————————————————————————

| RESOURCE DIR ENTRIES |

——————————————————————————

资源表2(Resource Table Entry)

在DELPHI中的申明

{ Resources }

PIMAGE_RESOURCE_DIRECTORY = ^IMAGE_RESOURCE_DIRECTORY;

IMAGE_RESOURCE_DIRECTORY = packed record

Characteristics : DWORD;

TimeDateStamp : DWORD;

MajorVersion : WORD;

MinorVersion : WORD;

NumberOfNamedEntries : WORD;

NumberOfIdEntries : WORD;

end

其中:

RESOURCE FLAGS

通常设置为0

TIME/DATE STAMP

资源编译器建立此资源的时间/日期,可能为0

MAJOR/MINOR VERSION

版本信息

# NAME ENTRY

使用名字的资源条目的个数,包含一个使用名字的目录条目的数组。

# ID ENTRY

使用ID数字的资源条目的个数,包含一个32位的整数ID号,同用名字一样。

这个目录紧接着会是一个不定长度的目录条目,不管用的名字还是ID,都是用升序排列。

这个不定长度的目录结构如下:

31 0

——————————————————————

| NAME RVA/INTEGER ID |

——————————————————————

| E | DATA ENTRY RVA/SUBDIR RVA |

——————————————————————

资源表3(Resource Directory Entry)

在DELPHI中的申明:

PIMAGE_RESOURCE_DIRECTORY_ENTRY = ^IMAGE_RESOURCE_DIRECTORY_ENTRY;

IMAGE_RESOURCE_DIRECTORY_ENTRY = packed record

Name: DWORD; // Or ID: Word (Union)

OffsetToData: DWORD;

INTEGER ID

包含一个识别资源的整数ID

如果在根目录,这个ID表示的意义如下

资源类型

1: cursor

2: bitmap

3: icon

4: menu

5: dialog

6: string table

7: font directory

8: font

9: accelerators

10: unformatted resource data

11: message table

12: group cursor

14: group icon

16: version information

NAME RVA

名字的相对实际地址,包含一个31位的相对资源的Image Base的地址。表的形式见表4

E 一位的不可缺少的识别码(mask 80000000h)

如果这位为0,则为Resource Data Entries,其中DATA RVA = 31位的(mask 7fffffffh) 数据条目的地址。结构见表5

如果这位为1,则表示接另一个子目录(Subdirectory Entry)。

{ 此函数检验 offset 是一个字符串名还是一个目录 }

{ IMAGE_RESOURCE_NAME_IS_STRING

= IMAGE_RESOURCE_DATA_IS_DIRECTORY

= $80000000 }

function HighBitSet(L: Longint): Boolean;

begin

Result := (L and IMAGE_RESOURCE_DATA_IS_DIRECTORY) <> 0;

end;

{ 下面两个函数用于去掉E位剩下的值或者指针 }

{IMAGE_OFFSET_STRIP_HIGH = $7FFFFFFF;}

function StripHighBit(L: Longint): Longint;

begin

Result := L and IMAGE_OFFSET_STRIP_HIGH;

end;

function StripHighPtr(L: Longint): Pointer;

begin

Result := Pointer(L and IMAGE_OFFSET_STRIP_HIGH);

end;

每一个资源目录名为如下格式

——————————————————————

| LENGTH | UNICODE STRING |

——————————————————————

| LENGTH | UNICODE STRING |

——————————————————————

表4(Resource Directory String Entry)

在DELPHI中的申明

PIMAGE_RESOURCE_DIR_STRING_U = ^IMAGE_RESOURCE_DIR_STRING_U;

IMAGE_RESOURCE_DIR_STRING_U = packed record

Length : WORD;

NameString : array [0..0] of WCHAR;

end;

LENGTH

就是字符串的长度

UNICODE STRING

Unicode的字符串.

资源数据表结构:

—————————————

| DATA RVA |

—————————————

| SIZE |

—————————————

| CODEPAGE |

—————————————

| RESERVED |

—————————————

表5(Resource Data Entry)

在DELPHI中的申明

PIMAGE_RESOURCE_DATA_ENTRY = ^IMAGE_RESOURCE_DATA_ENTRY;

IMAGE_RESOURCE_DATA_ENTRY = packed record

OffsetToData : DWORD;

Size : DWORD;

CodePage : DWORD;

Reserved : DWORD;

end;

DATA RVA

资源的相对实际地址,包含一个32位相对于资源Image Base的地址。

SIZE

资源的大小。

CODEPAGE

没什么说的,好像为译码方面设置的。

RESERVED

一定为0

好了,差不多资源这部分分析玩了,其它部分我还在研究:)

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有