PE文件自学笔记（二）：Section Table结构解析

最新推荐文章于 2024-04-26 21:20:10 发布

Anthony_BW

最新推荐文章于 2024-04-26 21:20:10 发布

阅读量595

点赞数

CC 4.0 BY-SA版权

分类专栏： PE文件分析文章标签： PE文件分析 Sections Table

本文链接：https://blog.youkuaiyun.com/qq_37835724/article/details/84036241

本文详细介绍了PE文件中的Section Table结构，包括其在PE文件中的位置、大小计算和成员解析。通过实例分析了Section Table每个元素的含义，如VirtualSize、PointerToRawData等，并探讨了SizeOfRawData与Misc的关系，强调了内存加载时的变化。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.Section Table结构解析

Section Table（节表）是记录PE文件中各个节的详细信息的集合，其每个成员是struct _IMAGE_SECTION_HEADER结构体，即节表是一个结构体数组来维护，属于线性结构。而节表的相对起始位置为：紧接着可选PE表。即：DOS头 + 中间空闲及垃圾数据 + NT头（三部分：4字节签名+标准PE头20字节+可选PE头）。

#define IMAGE_SIZEOF_SIGNATURE 4
#define IMAGE_SIZEOF_FILE_HEADER 20

用变量描述节标配偏移地址为（这是相对于文件首/ImageBase的偏移量）：

SectionTableStart =
_IMAGE_DOS_HEADER.e_lfanew +
IMAGE_SIZEOF_SIGNATURE +
IMAGE_SIZEOF_FILE_HEADER +
_IMAGE_FILE_HEADER.SizeOfOptionalHeader

一个结构体成员如下：

#define IMAGE_SIZEOF_SHORT_NAME 
typedef struct _IMAGE_SECTION_HEADER{
    0X00 BYTE    Name[IMAGE_SIZEOF_SHORT_NAME]; //节（段）的名字.text/.data/.rdata/.cmd等。
                                                //由于长度固定8字节，所以可以没有\0结束符，因此不能用ch