【正文】 call...匯編程序：}intint{foo(void)symbol2(char*)。__declspec(dllimport)symbol(char無論如何，DLL內(nèi)的函數(shù)地址總是必須的，來自輸出DLL的輸出目錄的地址被提供給加載器，加載器知道哪個符號需要查找，通過搜索輸入目錄修正地址。在復(fù)雜的應(yīng)用中，當(dāng)__declspec(dllimport)鏈接器使用輸入庫查詢哪個DLL哪個符號被引入。輸入表importedAddressOfFunctions39。搜索名字，使用名字的索引在AddressOfNameOrdinals數(shù)組得到與相應(yīng)名字對應(yīng)的16位數(shù)（按照PE規(guī)范，此數(shù)值為輸出函數(shù)的序號，需要減去BASE得到索引）。要按照名字找出輸出符號，沿著AddressOfNames39。如果沒有指向輸出節(jié)，你就完成任務(wù)了。得到索引，跟隨AddressOfFunctions“名字序數(shù)地址”指向名字序數(shù)數(shù)組要按照序數(shù)找出輸出符號：減去39。名字地址指向名字RVA數(shù)組39。forofNumberOfNames39。nameRVA...secondexportIndexsecondRVAnameforoffirstRVAvv||NumberOfFunctions39。Base39。ordinalRVABase39。ordinalRVABase39。ordinalRVA|函數(shù)地址指向一個地址數(shù)組AddressOfFunctions上述3表的示意圖：根據(jù)PE規(guī)范，AddressOfNameOrdinals數(shù)組含有相應(yīng)名字的序數(shù)，但實(shí)際上含有AddressOfFunctions數(shù)組的索引。數(shù)組包含指向0結(jié)尾的輸出名的RVAs。否則被指向的數(shù)組并行運(yùn)行，39。AddressOfNames39。NumberOfNames39。.,和一個指向16位序數(shù)的數(shù)組的32位RVA下面是指向其成員為指向符號名的32位RVA的數(shù)組39。Base39。輸出序號是AddressOfFunctions數(shù)組的索引＋上面提到的BASE值。轉(zhuǎn)發(fā)輸出是一個指向另一個文件輸出的指針。該列表有兩個怪事，輸出的RVA可能是0，他沒有被使用。個數(shù)元素的數(shù)組。下面32位是AddressOfFunctions，是輸出項(xiàng)目列表的RVA，它指向具有39。.在多數(shù)情況，每個輸出項(xiàng)有一個確切的名字，將以名字使用它。下面一個是32位的輸出名字的總數(shù)39。NumberOfFunctions39。Base39。這是一個指向以0結(jié)尾的字符串的RVA，名字是必須的，防止DLL文件改名。然后是2個16位的版本信息MajorVersion和MinorVersion，一般置0.下面是32位的39。TimeDateStamp39。一般為0。首先，是一個32位的39。IMAGE_EXPORT_DIRECTORY39。?IMAGE_EXPORT_DIRECTORYDWORDNumberOfNames?DWORDnBase?DWORDWORDMinorVersion?TimeDateStamp?DWORDIMAGE_EXPORT_DIRECTORY..edata39。不可以是可廢棄的，因?yàn)檫M(jìn)程可能在運(yùn)行時間調(diào)用GetProcAddress()找出函數(shù)的入口。他包括輸出函數(shù)的入口點(diǎn)，輸出對象的地址等。.symbols下面一個簡單的事情是輸出目錄39。必須置1。IMAGE_SCN_CNT_INITIALIZED_DATA39。然后把串填入該段，讓版權(quán)目錄指針指向他。.descr39。他不是可寫的，實(shí)際上程序不必訪問他。Cie.該串被使用命令行或者描述文件提供給鏈接器。amp。1848copyrightcontrolIMAGE_DIRECTORY_ENTRY_COPYRIGHT39。header內(nèi)的stacksize和heapsize堆棧段和堆段不是可執(zhí)行文件的節(jié)，但是被加載器創(chuàng)建。BSS39。,.典型名字如39。其長度是39。指明所有內(nèi)容必須在加載時間置0。為0，表明其內(nèi)容不在文件內(nèi)，特征位39。該節(jié)的39。intbss39。.idata39。,：39。+39。到39。節(jié)一般在39。及39。,39。.他含有這些位39。=intsection本節(jié)包含初始化過的靜態(tài)變量，例如AUTO。一般的名字如：.text,將指向這個節(jié)的開始，如果把非代碼放在代碼之前，也有可能指向后面某個地方?！翱蛇x頭”的成員39。AddressOfEntryPoint39。IMAGE_SCN_MEM_READ39。39。IMAGE_SCN_CNT_CODE39。代碼節(jié)code.根據(jù)他們包含的內(nèi)容，有幾種節(jié)。找到節(jié)，長度是39。在文件內(nèi)找到節(jié)，在內(nèi)存內(nèi)通過39。節(jié)由節(jié)頭內(nèi)的項(xiàng)目來描述，可以通過39。是節(jié)在文件內(nèi)對齊字節(jié)數(shù)。SectionAlignment39。raw節(jié)的原始數(shù)據(jù)Sections39。|data||||||節(jié)數(shù)據(jù)||1section+|||borders)||節(jié)邊界的相對地址|||+section(RVAs||section||||++||||+sections)||tories||+direc|(RVAs||data||header|++||++|DOSstub找到節(jié)，不必用對齊找節(jié)。或者39。你可以借助39。,節(jié)的對齊按照SectionAlignment。字節(jié)數(shù)對齊。在節(jié)頭后面我們看到節(jié)自身，他們在文件內(nèi)按照39。31置1，進(jìn)程得到“讀出”訪問節(jié)內(nèi)存。30置1，進(jìn)程得到“執(zhí)行”訪問節(jié)內(nèi)存。29置1，節(jié)的數(shù)據(jù)在所有映象例程內(nèi)共享，如DLL的初始化數(shù)據(jù)。28數(shù)據(jù)不得交換出去。(IMAGE_SCN_MEM_NOT_PAGED)bit置1，節(jié)的26置1，進(jìn)程開始后節(jié)的數(shù)據(jù)不再需要。25節(jié)包含擴(kuò)展的重定位。(IMAGE_SCN_LNK_NRELOC_OVFL)bit23指定對齊。20節(jié)必須在執(zhí)行開始前調(diào)入。19置1，節(jié)不可以在內(nèi)存內(nèi)移動。18置1，節(jié)的數(shù)據(jù)是可清除的。17置1，不確定。15置1，節(jié)包含公共塊數(shù)據(jù)，是某個順序的打包的函數(shù)。12置1，在可執(zhí)行文件鏈接后，作為文件一部分的數(shù)據(jù)被清除。11比如哪個庫被需要。(IMAGE_SCN_LNK_INFO)bit一般是BSS.(IMAGE_SCN_CNT_UNINITIALIZED_DATA)bit6(IMAGE_SCN_CNT_CODE)，置1，節(jié)內(nèi)包含可執(zhí)行代碼。bitCharacteristics39?？蓤?zhí)行文件有一個特殊的基準(zhǔn)重定位目錄，如果存在行號信息，一般包含在特殊目的的調(diào)試段或其他。16位，39。32位，39。32位，和39。然后是39。,32位，它是從文件起始到節(jié)數(shù)據(jù)的偏移量。下一個是39。,是四舍五入到下個FileAlignment39。然后是32位39。VirtualAddress39。實(shí)際上該域好像沒有被使用，有的鏈接器填入尺寸有的鏈接器填入地址，有的鏈接器填入0。的32位聯(lián)合體.和39。下面一個成員是39。要找到在節(jié)內(nèi)的信息，必須通過“可選頭”內(nèi)的數(shù)據(jù)目錄查找他們。一個.code節(jié)可能或沒有可能包括可執(zhí)行代碼，可能只包括輸入地址表。IAT.39。典型的名字如.data或者.text或者.bss.ENDSIMAGE_SIZEOF_SHORT_NAME(8)個字節(jié)的數(shù)組，組成節(jié)的名字。Characteristics?dwNumberOfRelocations?PointerToLinenumbers?PointerToRelocations?PointerToRawData?ddddVirtualSize?dduniondup(?)db節(jié)頭包括：IMAGE_SECTION_HEADERdirectories節(jié)包含2個部分：節(jié)頭IMAGE_SECTION_HEADER，節(jié)數(shù)據(jù)。如果一個特定類型的目錄沒有被使用，地址和尺寸都為0。我們知道版權(quán)數(shù)據(jù)是在Table輸入地址表目錄例如，如果我們找到索引7的2個值0x12000和33,(12)ImportimportIMAGE_DIRECTORY_ENTRY_BOUND_IMPORT目錄(10)LoadlocalIMAGE_DIRECTORY_ENTRY_TLS(8)機(jī)器值IMAGE_DIRECTORY_ENTRY_COPYRIGHT(6)調(diào)試目錄IMAGE_DIRECTORY_ENTRY_BASERELOC(4)安全目錄IMAGE_DIRECTORY_ENTRY_EXCEPTION(2)資源目錄IMAGE_DIRECTORY_ENTRY_IMPORT(0)輸出符號目錄用于DLL和尺寸32RVAENDS每個目錄描述了節(jié)內(nèi)特定信息位置，32isize?DWORDVirtualAddressSTRUCT最好使用IMAGE_NUMBEROF_DIRECTORY_ENTRIES，即16。沒有用。沒有?；蛘叨?，于是在其映像內(nèi)該值被忽略。一個進(jìn)程可以創(chuàng)建多個堆如果需要的話。MB的堆并提交的堆時64KB,該堆就從64KB開始。這個值也是堆和棧根據(jù)需要增長的一個數(shù)量。SizeOfHeapCommit39。SizeOfHeapReserve39。SizeOfStackCommit39。SizeOfStackReserve39。32位3置1，DLL被通知進(jìn)程脫離。位1置1，DLL被通知線程脫離。subsystem,于是合法值是2和3。(7)映像使用POSIX控制臺子系統(tǒng)Windows控制臺，程序是OS/2格式。IMAGE_SUBSYSTEM_OS2_CUIIMAGE_SUBSYSTEM_WINDOWS_CUI(2)映像是Win32圖形程序可以打開控制臺(1)執(zhí)行文件不需要子系統(tǒng)，用于驅(qū)動程序。然后是16的子系統(tǒng)Subsystem39。.對當(dāng)前版本的NT，只校驗(yàn)映像是否是NT驅(qū)動程序。然后是32位的校驗(yàn)碼39。SizeOfHeaders39。下面一個是32位的所有頭的總和，包括數(shù)據(jù)目錄和節(jié)頭。.是所有的頭和節(jié)的總和，如果節(jié)已經(jīng)對齊。下面是32位的映像需要的內(nèi)存數(shù)量39。然后是Win32VersionValue，32位。該版本需要正確提供，因?yàn)樗粰z查并使用。MajorSubsystemVersion和MinorSubsystemVersion.許多連接器不正確設(shè)置這些信息。MinorImageVersion39。MajorImageVersion39。39。MajorOperatingSystemVersion39。.以及在文件內(nèi)的對齊39。SectionAlignment39。importimports不再有效，需要對使用DLL的執(zhí)行文件進(jìn)行修正。這種情況下，映像被加載到其他地址，需要重定位。該值總是64KB的倍數(shù)，文件已經(jīng)被連接器重定位，如果文件能夠真正加載到這個地址，加載器不必重定位文件。下面是一個32位值，ImageBase39。我們對它沒有興趣，因?yàn)榭梢酝ㄟ^節(jié)來查看更可靠的信息。BaseOfData39。BaseOfCode39。).執(zhí)行從此開始。(39。segment.這些數(shù)值也不可靠。SizeOfUninitializedData39。segment,),初始化數(shù)據(jù)尺寸39。下面3個longwords(32位)指定執(zhí)行代碼尺寸(39。這些值都不可靠，不能總是妥當(dāng)?shù)姆从尺B接器版本。和39。總是0x010b.下面2個字節(jié)是連接器的版本號39。IMAGE_OPTIONAL_HEADER32第1個16位字是39。equENDSIMAGE_OPTIONAL_HEADERIMAGE_NUMBEROF_DIRECTORY_ENTRIESDataDirectory?DWORDLoaderFlags?DWORDSizeOfHeapCommit?DWORDSizeOfStackCommit?DWORDSizeOfStackReserve?WORDSizeOfHeaders?DWORDWin32VersionValue?MinorSubsystemVersion?MajorSubsystem