【正文】 0。||+|||sectiondata1||||節(jié)數(shù)據(jù)|||+|+++|||||sectiondata2||||+++每個節(jié)都有一個節(jié)頭，每個數(shù)據(jù)目錄將指向一個節(jié)（幾個數(shù)據(jù)目錄可能指向同一個節(jié)），有的節(jié)可能沒有數(shù)據(jù)目錄指向它。節(jié)的原始數(shù)據(jù)Sections39。rawdata概要所有的節(jié)調(diào)入內(nèi)存后按照39。SectionAlignment39。對齊，F(xiàn)ileAlignment39。是節(jié)在文件內(nèi)對齊字節(jié)數(shù)。節(jié)由節(jié)頭內(nèi)的項目來描述，可以通過39。PointerToRawData39。在文件內(nèi)找到節(jié)，在內(nèi)存內(nèi)通過39。VirtualAddress39。找到節(jié)，長度是39。SizeOfRawData39。.根據(jù)他們包含的內(nèi)容，有幾種節(jié)。一般至少有一個數(shù)據(jù)目錄指向的內(nèi)容保存在一個節(jié)內(nèi)。代碼節(jié)codesection本節(jié)至少含有一個標志位39。IMAGE_SCN_CNT_CODE39。,39。IMAGE_SCN_MEM_EXECUTE39。and39。IMAGE_SCN_MEM_READ39。的集合，并且“可選頭”的成員39。AddressOfEntryPoint39。指向這個節(jié)內(nèi)的某個地方?！翱蛇x頭”的成員39。BaseOfCode39。將指向這個節(jié)的開始，如果把非代碼放在代碼之前，也有可能指向后面某個地方。一般除了可執(zhí)行代碼，沒有其他東西，一般只有一個代碼節(jié)。一般的名字如：.text,.code,AUTO。數(shù)據(jù)節(jié)datasection本節(jié)包含初始化過的靜態(tài)變量，例如staticinti=5。.他含有這些位39。IMAGE_SCN_CNT_INITIALIZED_DATA39。,39。IMAGE_SCN_MEM_READ39。及39。IMAGE_SCN_MEM_WRITE39。如果部分數(shù)據(jù)是共享的，或者有其他特性的話，節(jié)將包含更多的特征位集。節(jié)一般在39。BaseOfData39。到39。BaseOfData39。+39。SizeOfInitializedData39。：39。.data39。,39。.idata39。,39。DATA39。bsssection還有未初始化的數(shù)據(jù)，例如staticintk。該節(jié)的39。PointerToRawData39。為0，表明其內(nèi)容不在文件內(nèi)，特征位39。IMAGE_SCN_CNT_UNINITIALIZED_DATA39。指明所有內(nèi)容必須在加載時間置0。這意味著有節(jié)頭，但沒有節(jié)在文件內(nèi)，該節(jié)被加載器創(chuàng)建，并且包含全0字節(jié)。其長度是39。SizeOfUninitializedData39。.典型名字如39。.bss39。,39。BSS39。有的節(jié)數(shù)據(jù)沒有被數(shù)據(jù)目錄指向，其內(nèi)容和結(jié)果被編譯器支持，不是被鏈接器支持。堆棧段和堆段不是可執(zhí)行文件的節(jié)，但是被加載器創(chuàng)建。其大小為optionalheader內(nèi)的stacksize和heapsize.版權copyright開始于一個簡單的目錄39。IMAGE_DIRECTORY_ENTRY_COPYRIGHT39。.其內(nèi)容是一個版權或者一個非0結(jié)尾的串，象Gonkulatorcontrolapplication,copyright(c)1848Hugendubelamp。Cie.該串被使用命令行或者描述文件提供給鏈接器。該串不是必須的，可以被舍棄。他不是可寫的，實際上程序不必訪問他。鏈接器將找出是否有一個可以舍棄的不可寫的段，創(chuàng)建一個名字為39。.descr39。的段。然后把串填入該段，讓版權目錄指針指向他。該節(jié)的特征字39。IMAGE_SCN_CNT_INITIALIZED_DATA39。必須置1。輸出符號exportedsymbols下面一個簡單的事情是輸出目錄39。IMAGE_DIRECTORY_ENTRY_EXPORT39。.該目錄是DLL內(nèi)的典型目錄。他包括輸出函數(shù)的入口點，輸出對象的地址等。該節(jié)必須是初始化數(shù)據(jù)和可讀的。不可以是可廢棄的，因為進程可能在運行時間調(diào)用GetProcAddress()找出函數(shù)的入口。該節(jié)一般稱為39。.edata39。.它一般被并入其他節(jié)。IMAGE_EXPORT_DIRECTORYSTRUCTCharacteristicsDWORD?TimeDateStampDWORD?MajorVersionWORD?MinorVersionWORD?nNameDWORD?nBaseDWORD?NumberOfFunctionsDWORD?NumberOfNamesDWORD?AddressOfFunctionsDWORD?AddressOfNamesDWORD?AddressOfNameOrdinalsDWORD?IMAGE_EXPORT_DIRECTORYENDS輸出表結(jié)構(39。IMAGE_EXPORT_DIRECTORY39。)包含一個頭和輸出數(shù)據(jù)，即符號名，序號及到入口點的偏移。首先，是一個32位的39。Characteristics39。，一般為0。然后是32位的39。TimeDateStamp39。,輸出表創(chuàng)建的時間，并非總是有效的，有些鏈接器置0。然后是2個16位的版本信息MajorVersion和MinorVersion，一般置0.下面是32位的39。Name39。，這是一個指向以0結(jié)尾的字符串的RVA，名字是必須的，防止DLL文件改名。然后是32位的39。Base39。.下一個是32位的輸出項目總數(shù)39。NumberOfFunctions39。.除了序數(shù)外，也可能以名字輸出。下面一個是32位的輸出名字的總數(shù)39。NumberOfNames39。.在多數(shù)情況，每個輸出項有一個確切的名字，將以名字使用它。但一個項目可能有多個名字，或者沒有名字，這種情況只能夠以序號來訪問，不贊成只以序號輸出，帶來維護問題。下面32位是AddressOfFunctions，是輸出項目列表的RVA，它指向具有39。NumberOfFunctions39。個數(shù)元素的數(shù)組。每個成員是輸出函數(shù)或變量的RVA。該列表有兩個怪事，輸出的RVA可能是0，他沒有被使用。第二如果RVA指向包含輸出目錄的節(jié)，這是一個轉(zhuǎn)發(fā)輸出。轉(zhuǎn)發(fā)輸出是一個指向另一個文件輸出的指針。這樣就使用另一個文件內(nèi)的被指向的輸出。輸出序號是AddressOfFunctions數(shù)組的索引＋上面提到的BASE值。多數(shù)情況下，39。Base39。＝1,意思是第一個輸出的序號為1，第二個是2。下面是指向其成員為指向符號名的32位RVA的數(shù)組39。AddressOfNames39。,和一個指向16位序數(shù)的數(shù)組的32位RVAAddressOfNameOrdinals39。.兩個數(shù)組都含有39。NumberOfNames39。，所以39。AddressOfNames39。是0.否則被指向的數(shù)組并行運行，39。AddressOfNames39。數(shù)組包含指向0結(jié)尾的輸出名的RVAs。名字都按照字母順序保存，便于高效檢索名字。根據(jù)PE規(guī)范，AddressOfNameOrdinals數(shù)組含有相應名字的序數(shù)，但實際上含有AddressOfFunctions數(shù)組的索引。序數(shù)＝BASE+INDEX。上述3表的示意圖：AddressOfFunctions函數(shù)地址指向一個地址數(shù)組||vexportedRVAwithordinal39。Base39。//帶有序號的輸出函數(shù)的RVAexportedRVAwithordinal39。Base39。+1...exportedRVAwithordinal39。Base39。+39。NumberOfFunctions39。1AddressOfNamesAddressOfNameOrdinals||||vvRVAtofirstnameIndexofexportforfirstnameRVAtosecondnameIndexofexportforsecondname......RVAtoname39。NumberOfNames39。Indexofexportforname39。NumberOfNames39。名字地址指向名字RVA數(shù)組“名字序數(shù)地址”指向名字序數(shù)數(shù)組要按照序數(shù)找出輸出符號：減去39。Base39。得到索引，跟隨AddressOfFunctionsRVA找到輸出數(shù)組，用索引定位輸出符號RVA所在元素。如果沒有指向輸出節(jié)，你就完成任務了。否則，如果指向一個描述輸出DLL名字和序數(shù)的串，你必須查找被轉(zhuǎn)發(fā)的輸出項。要按照名字找出輸出符號，沿著AddressOfNames39。RVA，找到指向包含輸出名字的RVAs的數(shù)組，其中每個RVA指向一個名字。搜索名字，使用名字的索引在AddressOfNameOrdinals數(shù)組得到與相應名字對應的16位數(shù)（按照PE規(guī)范，此數(shù)值為輸出函數(shù)的序號，需要減去BASE得到索引）。根據(jù)經(jīng)驗，這就是索引，不是序號，不必減去BASE，直接使用該索引在39。AddressOfFunctions39。數(shù)組找出輸出函數(shù)的的RVA或者是一個指向轉(zhuǎn)發(fā)串。輸入表importedsymbols當編譯器發(fā)現(xiàn)一個調(diào)用的函數(shù)在其他可執(zhí)行文件（一般是DLL）內(nèi)，它將不知道這個情況，簡單輸出一個調(diào)用符號的指令，其地址由鏈接器添上。鏈接器使用輸入庫查詢哪個DLL哪個符號被引入。為所有引入的符號產(chǎn)生STUB，每個由一個跳轉(zhuǎn)指令構成，STUB是真正的調(diào)用目標，這些跳轉(zhuǎn)指令真正跳到一個從地址表內(nèi)取出的地址。在復雜的應用中，當__declspec(dllimport)被使用的時候，編譯器知道函數(shù)被引入，并輸出一個對輸入表內(nèi)的地址的調(diào)用。無論如何，DLL內(nèi)的函數(shù)地址總是必須的，來自輸出DLL的輸出目錄的地址被提供給加載器，加載器知道哪個符號需要查找，通過搜索輸入目錄修正地址。下面是一個例子：一個帶有/不帶有聲明__declspec(dllimport)的調(diào)用如下：源程序：intsymbol(char*)。__declspec(dllimport)intsymbol2(char*)。voidfoo(void){inti=symbol(bar)。intj=symbol2(baz)。}匯編程序：...call_symbol