pe格式从入门到图形化显示（四）-节表

---

---

前言

通过分析和解析Windows PE格式，并使用qt进行图形化显示

---

一、什么是Windows PE格式节表？

PE格式的节表（Section Table）是一个数组，它包含了PE文件中各个节（Section）的信息。每个节表项都是一个IMAGE_SECTION_HEADER结构体，它包含了关于节的名称、大小、属性等信息。

二、解析节表并显示

1.节表数据结构以及字段描述

Name：节的名称，最多8个字符，以空字符填充。
VirtualSize：节在内存中的大小，以字节为单位。
VirtualAddress：节在内存中的起始RVA（相对虚拟地址）。
SizeOfRawData：节在文件中的大小，以字节为单位。
PointerToRawData：节在文件中的起始偏移量，以字节为单位。
PointerToRelocations：节的重定位表在文件中的起始偏移量，以字节为单位。
PointerToLinenumbers：节的行号表在文件中的起始偏移量，以字节为单位。
NumberOfRelocations：节的重定位表中的项数。
NumberOfLinenumbers：节的行号表中的项数。
Characteristics：节的属性，如可读、可写、可执行等。

struct IMAGE_SECTION_HEADER
{
   
   
    BYTE Name[IMAGE_SIZEOF_SHORT_NAME];
    union {
   
   
        DWORD PhysicalAddress;
        DWORD VirtualSize;
    } Misc;
    DWORD VirtualAddress;
    DWORD SizeOfRawData;
    DWORD PointerToRawData;

    DWORD PointerToRelocations;
    DWORD PointerToLinenumbers;
    WORD NumberOfRelocations;
    WORD NumberOfLinenumbers;
    DWORD Characteristics;
};

2.节表的属性

PE格式的节表中的每个节都有一个属性字段（Characteristics），它是一个位掩码，用于指定节的各种属性。以下是一些常见的节属性及其具体值：
IMAGE_SCN_CNT_CODE：表示节包含可执行代码。具体值为0x00000020。
IMAGE_SCN_CNT_INITIALIZED_DATA：表示节包含初始化的数据。具体值为0x00000040。
IMAGE_SCN_CNT_UNINITIALIZED_DATA：表示节包含未初始化的数据。具体值为0x00000080。
IMAGE_SCN_MEM_EXECUTE：表示节可以执行。具体值为0x20000000。
IMAGE_SCN_MEM_READ：表示节可以读取。具体值为0x40000000。
IMAGE_SCN_MEM_WRITE：表示节可以写入。具体值为0x80000000。
IMAGE_SCN_MEM_SHARED：表示节可以在多个进程之间共享。具体值为0x10000000。
IMAGE_SCN_MEM_DISCARDABLE：表示节可以被丢弃，以释放内存。具体值为0x02000000。
IMAGE_SCN_MEM_NOT_CACHED：表示节不应被缓存。具体值为0x04000000。
IMAGE_SCN_MEM_NOT_PAGED：表示节不应被分页。具体值为0x08000000。
这些属性可以组合使用，以指定节的具体属性。例如，如果一个节同时包含可执行代码和可读数据，那么它的属性字段将包含IMAGE_SCN_CNT_CODE和IMAGE_SCN_MEM_READ标志。在处理PE文件时，可以通过检查节的属性字段来确定节的具体用途和行为。

3.解析

bool PEParser::parserFileData(const QByteArray &fileData)
{
   
   
    //判断是否是MZ开头的文件
    if (fileData.left(2) != "MZ")
    {
   
   
        return false;
    }
    //解析DOS头
    parserDOSHeader(fileData.left