【正文】 SizeOfCode39。SizeOfInitializedData39。所謂的數(shù)據(jù)段data未初始化數(shù)據(jù)尺寸39。,所謂的bss。AddressOfEntryPoint39。下面2個(gè)32位是可執(zhí)行代碼(39。)和初始化數(shù)據(jù)(39。)的RVAs非初始化數(shù)據(jù)沒(méi)有RVA。作為整個(gè)文件的優(yōu)先加載地址，包括所有頭在內(nèi)。如果另一個(gè)映像已經(jīng)被加載到那個(gè)地址，則優(yōu)先地址不可使用。如果映像是DLL，還有更多結(jié)果，因?yàn)閎ound參見(jiàn)39。directory39。下面2個(gè)32位是當(dāng)映像文件加載后，PE文件的節(jié)在內(nèi)存內(nèi)的對(duì)齊，39。,FileAlignment39。一般文件對(duì)齊是512，節(jié)對(duì)齊是4096.下面2個(gè)16位的字是期望的操作系統(tǒng)版本，39。和MinorOperatingSystemVersion39。下面2個(gè)16位的字是期望的可執(zhí)行文件版本，39。和39。.下面2個(gè)16位的字是期望的子系統(tǒng)版本，39。這個(gè)必須是Win32版本或者POSIX版本。如果程序是Win32GUI并運(yùn)行在NT4,對(duì)話框不是3D效果。大部分情況下是0。SizeOfImage39。它是給加載器的線索，需要多少頁(yè)加載映像。39。.它也是才文件開(kāi)始到第一節(jié)的偏移量。CheckSum39。對(duì)于其他可執(zhí)行文件類型，不必提供這個(gè)碼，可能為0。表明在什么系統(tǒng)上運(yùn)行：IMAGE_SUBSYSTEM_NATIVEIMAGE_SUBSYSTEM_WINDOWS_GUI(3)映像是Win32控制臺(tái)程序，可以得到缺省控制臺(tái)。(5)映像是OS/2IMAGE_SUBSYSTEM_POSIX_CUI95可執(zhí)行文件總是使用Win32下面是16位，DllCharacteristics,表明是否是DLL,如果0位置1，DLL被通知進(jìn)程結(jié)合。位2置1，DLL被通知線程結(jié)合。下面4個(gè)位預(yù)留堆棧大小39。,提交的堆棧大小39。,預(yù)留的堆的大小39。和提交的的堆的的大小39。.預(yù)留數(shù)量是地址空間不是真實(shí)的RAM，程序啟動(dòng)時(shí)，提交的數(shù)量是真正的分配的內(nèi)存。例如：一個(gè)程序預(yù)留1該堆在這里是主要堆，默認(rèn)堆。棧是第一個(gè)線程的棧，進(jìn)程可以創(chuàng)建許多線程，每個(gè)都有自己的堆棧，DLLs下面是32位的LoaderFlags,然后是32位的NumberOfRvaAndSizes,在隨后的目錄內(nèi)的有效項(xiàng)目數(shù)。下面是具有IMAGE_NUMBEROF_DIRECTORY_ENTRIES(16)個(gè)成員的IMAGE_DATA_DIRECTORYs結(jié)構(gòu)數(shù)組.IMAGE_DATA_DIRECTORYDWORD?IMAGE_DATA_DIRECTORYbitsVirtualAddressbit,各個(gè)成員索引如下（括號(hào)內(nèi)為索引值）：IMAGE_DIRECTORY_ENTRY_EXPORT(1)輸入符號(hào)目錄IMAGE_DIRECTORY_ENTRY_RESOURCE(3)異常目錄IMAGE_DIRECTORY_ENTRY_SECURITY(5)重定位表IMAGE_DIRECTORY_ENTRY_DEBUG(7)描述版權(quán)串IMAGE_DIRECTORY_ENTRY_GLOBALPTR(9)Threadstorage目錄IMAGE_DIRECTORY_ENTRY_LOAD_CONFIGconfiguration(11)Bounddirectory目錄IMAGE_DIRECTORY_ENTRY_IATAddress加載地址是0x10000,0x10000+0x12000，版權(quán)字?jǐn)?shù)為33。節(jié)目錄Section在數(shù)據(jù)目錄之后，我們看到一個(gè)具有NumberOfSections個(gè)節(jié)頭成員的數(shù)組，按RVA排序。STRUCTName1IMAGE_SIZEOF_SHORT_NAMEMiscPhysicalAddressdd?endsVirtualAddress?SizeOfRawDatadddddddw?NumberOfLinenumbersdd?IMAGE_SECTION_HEADER如果所有8個(gè)字節(jié)被用掉，沒(méi)有0做為結(jié)尾。沒(méi)有必要前導(dǎo)39。,可以是是CODE或.注意名字不全部跟節(jié)內(nèi)容有關(guān)?？赡馨a和地址表和初始化數(shù)據(jù)。不要依賴名字，不要假定節(jié)的原始數(shù)據(jù)起始于節(jié)的開(kāi)始。PhysicalAddress39。VirtualSize39。在目標(biāo)文件，該地址是內(nèi)容被重定位的地址，在可執(zhí)行文件內(nèi)是內(nèi)容的尺寸。下一個(gè)成員是39。,32位，保存當(dāng)節(jié)的數(shù)據(jù)加載入內(nèi)存時(shí)的RVA。SizeOfRawData39。倍數(shù)的大小。PointerToRawData39。如果是0,節(jié)數(shù)據(jù)不包含在文件內(nèi)，在加載時(shí)被確定。PointerToRelocations39。PointerToLinenumbers39。NumberOfRelocations39。NumberOfLinenumbers39。最后一個(gè)是32位的39。,它是一組標(biāo)志描述如何處理節(jié)的內(nèi)存。5bit(IMAGE_SCN_CNT_INITIALIZED_DATA)置1，節(jié)內(nèi)包含的數(shù)據(jù)在執(zhí)行前是確定的。7置1，本節(jié)包含未初始化的數(shù)據(jù)，執(zhí)行前即將被初始化為0。9置1，節(jié)內(nèi)不包含映象數(shù)據(jù)除了注釋，描述或者其他文檔外，是一個(gè)目標(biāo)文件的一部分，可能是針對(duì)鏈接器的信息。bit(IMAGE_SCN_LNK_REMOVE)bit(IMAGE_SCN_LNK_COMDAT)bit(IMAGE_SCN_MEM_FARDATA)bit(IMAGE_SCN_MEM_PURGEABLE)bit(IMAGE_SCN_MEM_LOCKED)bit(IMAGE_SCN_MEM_PRELOAD)置1，Bitsto一般是庫(kù)文件的對(duì)象對(duì)齊。24置1，bit(IMAGE_SCN_MEM_DISCARDABLE)bit(IMAGE_SCN_MEM_NOT_CACHED)數(shù)據(jù)不得緩存。27置1，節(jié)的bit(IMAGE_SCN_MEM_SHARED)bit(IMAGE_SCN_MEM_EXECUTE)bit(IMAGE_SCN_MEM_READ)bit(IMAGE_SCN_MEM_WRITE)置1，進(jìn)程得到“寫入”訪問(wèn)節(jié)內(nèi)存。FileAlignment39。即在可選頭和每個(gè)節(jié)的后面將添加0。例如：一個(gè)可選頭在偏移量981處結(jié)束，文件對(duì)齊為512，第一個(gè)節(jié)起始于1024。PointerToRawData39。VirtualAddress39。（節(jié)頭哪里去了？此段有問(wèn)題?。。?+|fileheaderoptional|||+|directories|||toin|||||目錄在節(jié)內(nèi)的相對(duì)地址||||+|||headers||||to||||||+++||||||||data||+|+++||section2|||+++每個(gè)節(jié)都有一個(gè)節(jié)頭，每個(gè)數(shù)據(jù)目錄將指向一個(gè)節(jié)（幾個(gè)數(shù)據(jù)目錄可能指向同一個(gè)節(jié)），有的節(jié)可能沒(méi)有數(shù)據(jù)目錄指向它。data概要所有的節(jié)調(diào)入內(nèi)存后按照39。對(duì)齊，F(xiàn)ileAlignment39。PointerToRawData39。VirtualAddress39。SizeOfRawData39。一般至少有一個(gè)數(shù)據(jù)目錄指向的內(nèi)容保存在一個(gè)節(jié)內(nèi)。section本節(jié)至少含有一個(gè)標(biāo)志位39。,IMAGE_SCN_MEM_EXECUTE39。and39。的集合，并且“可選頭”的成員39。指向這個(gè)節(jié)內(nèi)的某個(gè)地方。BaseOfCode39。一般除了可執(zhí)行代碼，沒(méi)有其他東西，一般只有一個(gè)代碼節(jié)。.code,數(shù)據(jù)節(jié)datastatici5。IMAGE_SCN_CNT_INITIALIZED_DATA39。IMAGE_SCN_MEM_READ39。IMAGE_SCN_MEM_WRITE39。如果部分?jǐn)?shù)據(jù)是共享的，或者有其他特性的話，節(jié)將包含更多的特征位集。BaseOfData39。BaseOfData39。SizeOfInitializedData39。.data39。39。,DATA39。section還有未初始化的數(shù)據(jù)，例如statick。PointerToRawData39。IMAGE_SCN_CNT_UNINITIALIZED_DATA39。這意味著有節(jié)頭，但沒(méi)有節(jié)在文件內(nèi)，該節(jié)被加載器創(chuàng)建，并且包含全0字節(jié)。SizeOfUninitializedData39。.bss39。39。有的節(jié)數(shù)據(jù)沒(méi)有被數(shù)據(jù)目錄指向，其內(nèi)容和結(jié)果被編譯器支持，不是被鏈接器支持。其大小為optional.版權(quán)copyright開(kāi)始于一個(gè)簡(jiǎn)單的目錄39。.其內(nèi)容是一個(gè)版權(quán)或者一個(gè)非0結(jié)尾的串，象Gonkulatorapplication,(c)Hugendubel該串不是必須的，可以被舍棄。鏈接器將找出是否有一個(gè)可以舍棄的不可寫的段，創(chuàng)建一個(gè)名字為39。的段。該節(jié)的特征字39。輸出符號(hào)exportedIMAGE_DIRECTORY_ENTRY_EXPORT39。該目錄是DLL內(nèi)的典型目錄。該節(jié)必須是初始化數(shù)據(jù)和可讀的。該節(jié)一般稱為39。它一般被并入其他節(jié)。STRUCTCharacteristicsDWORD?MajorVersionWORD?nNameDWORD?NumberOfFunctionsDWORD?AddressOfFunctionsDWORD?AddressOfNamesDWORD?AddressOfNameOrdinalsENDS輸出表結(jié)構(gòu)(39。)包含一個(gè)頭和輸出數(shù)據(jù)，即符號(hào)名，序號(hào)及到入口點(diǎn)的偏移。Characteristics39。然后是32位的39。,輸出表創(chuàng)建的時(shí)間，并非總是有效的，有些鏈接器置0。Name39。然后是32位的39。.下一個(gè)是32位的輸出項(xiàng)目總數(shù)39。.除了序數(shù)外，也可能以名字輸出。NumberOfNames39。但一個(gè)項(xiàng)目可能有多個(gè)名字，或者沒(méi)有名字，這種情況只能夠以序號(hào)來(lái)訪問(wèn)，不贊成只以序號(hào)輸出，帶來(lái)維護(hù)問(wèn)題。NumberOfFunctions39。每個(gè)成員是輸出函數(shù)或變量的RVA。第二如果RVA指向包含輸出目錄的節(jié)，這是一個(gè)轉(zhuǎn)發(fā)輸出。這樣就使用另一個(gè)文件內(nèi)的被指向的輸出。多數(shù)情況下，39。＝1,意思是第一個(gè)輸出的序號(hào)為1，第二個(gè)是2。AddressOfNames39。AddressOfNameOrdinals39。兩個(gè)數(shù)組都含有39。所以39。是0.AddressOfNames39。名字都按照字母順序保存，便于高效檢索名字。序數(shù)＝BASE+INDEX。|vexportedwith39。//帶有序號(hào)的輸出函數(shù)的RVAexportedwith39。+1...exportedwith39。+39。1AddressOfNamesAddressOfNameOrdinals||tonameIndexexportfirsttonameofforname...to39。IndexexportnameNumberOfNames39。Base39。RVA找到輸出數(shù)組，用索引定位輸出符號(hào)RVA所在元素。否則，如果指向一個(gè)描述輸出DLL名字和序數(shù)的串，你必須查找被轉(zhuǎn)發(fā)的輸出項(xiàng)。RVA，找到指向包含輸出名字的RVAs的數(shù)組，其中每個(gè)RVA指向一個(gè)名字。根據(jù)經(jīng)驗(yàn)，這就是索引，不是序號(hào)，不必減去BASE，直接使用該索引在39。數(shù)組找出輸出函數(shù)的的RVA或者是一個(gè)指向轉(zhuǎn)發(fā)串。symbols當(dāng)編譯器發(fā)現(xiàn)一個(gè)調(diào)用的函數(shù)在其他可執(zhí)行文件（一般是DLL）內(nèi)，它將不知道這個(gè)情況，簡(jiǎn)單輸出一個(gè)調(diào)用符號(hào)的指令，其地址由鏈接器添上。為所有引入的符號(hào)產(chǎn)生STUB，每個(gè)由一個(gè)跳轉(zhuǎn)指令構(gòu)成，STUB是真正的調(diào)用目標(biāo)，這些跳轉(zhuǎn)指令真正跳到一個(gè)從地址表內(nèi)取出的地址。被使用的時(shí)候，編譯器知道函數(shù)被引入，并輸出一個(gè)對(duì)輸入表內(nèi)的地址的調(diào)用。下面是一個(gè)例子：一個(gè)帶有/不帶有聲明__declspec(dllimport)的調(diào)用如下：源程序：int*)。intvoidi=symbol(bar)。j=symbol2(baz)。_symbo