原创 C++应用程序在Windows下的编译、链接：第二部分COFF/PE文件结构

Dumpbin /all DemoMath.obj >DemoMath.txt

Dump of file demomath.obj

File Type: COFF OBJECT                                //表示该文件格式为COFF格式

FILE HEADER VALUES                                 //以下依次是文件头中各项的值

14C machine (x86)                      //魔数

20 number of sections                  //段的数量

519AFB7E time date stamp Tue May 21 12:43:42 2013   //建立时间

288A file pointer to symbol table           //符号表的位置

83 number of symbols                 //符号的数量

0 size of optional header              //可选头的大小

0 characteristics                     //文件属性标记。零表示有重定位信息，有符号表，有行号，不可执行，具体解释可见“Characteristics字段的取值情况表”的描述。

typedef struct _IMAGE_FILE_HEADER

{

WORD    Machine;

WORD    NumberOfSections;

DWORD   TimeDateStamp;

DWORD   PointerToSymbolTable;

DWORD   NumberOfSymbols;

WORD    SizeOfOptionalHeader;

WORD    Characteristics;

} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

#define IMAGE_SIZEOF_FILE_HEADER             20        //文件头的大小

字段名称

类型

描述

Machine

Word

魔法数字，在i386平台中，该值为0x014c。这是一个平台的标识。

NumberOfSections

Word

段的数量。段表的大小由它确定。

段表的大小 =  Sizeof(IMAGE_SECTION_HEADER)

* NumberOfSections

TimeDateStamp

Dword

该字段是一个时间戳，用来记录COFF文件创建的时间。当COFF文件作为一个可执行文件的时候，该值被用来当作加密用的比对标识。

PointerToSymbolTable

Dword

符号表在文件中的偏移量，该偏移量从文件的零位置为基准。使用该值可以确定符号表的第一个字节的位置。

NumberOfSymbols

Dword

符号表中符号的个数。

SizeOfOptionalHeader

Word

可选头的大小。通常为零。通过此值可定位段表。

Characteristics

Word

文件的属性标记，它标记了文件的类型，以及文件中所保存的数据的信息。该标记的详细说明见下表。

名称

值

说明

F_RELFLG

0x0001

无重定位信息标记。值为1表示无重定位信息。在目标文件中，该值为1，可执行文件中，该值为零。

F_EXEC

0x0002

可执行标记。值为2表示该文件中所有符号都已经被解析完毕，可以被执行。在目标文件中，该值为零。

F_LNNO

0x0004

无行号标记。值为4表示该文件中没有行号表

F_LSYMS

0x0008

无符号标记。值为8表示该文件中没有符号表

F_AR32WR

0x0100

该标记指出文件是 32 位的 Little-Endian COFF 文件。

SECTION HEADER #9

.text name                     //段表信息的内容

0 physical address

0 virtual address

2A size of raw data

16B0 file pointer to raw data (000016B0 to 000016D9)

16DA file pointer to relocation table

0 file pointer to line numbers

1 number of relocations

0 number of line numbers

60501020 flags

Code

COMDAT; sym= "int __cdecl GetOperTimes(void)" (?GetOperTimes@@YAHXZ)

16 byte align

Execute Read

RAW DATA #9                      //段的二进制数据

00000000: 55 8B EC 81 EC C0 00 00 00 53 56 57 8D BD 40 FF  U.ì.ìà...SVW.?@?

00000010: FF FF B9 30 00 00 00 B8 CC CC CC CC F3 AB A1 00  ??10...?ììììó??.

00000020: 00 00 00 5F 5E 5B 8B E5 5D C3                    ..._^[.?]?

RELOCATIONS #9                   //段的重定位信息

Symbol    Symbol

Offset    Type              Applied To         Index     Name

--------  ----------------  -----------------  --------  ------

0000001F  DIR32                      00000000         F  ?nOperTimes@@3HA (int nOperTimes)

#define IMAGE_SIZEOF_SHORT_NAME              8

typedef struct _IMAGE_SECTION_HEADER

{

BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];

union

{

DWORD   PhysicalAddress;

DWORD   VirtualSize;

} Misc;

DWORD   VirtualAddress;

DWORD   SizeOfRawData;

DWORD   PointerToRawData;

DWORD   PointerToRelocations;

DWORD   PointerToLinenumbers;

WORD    NumberOfRelocations;

WORD    NumberOfLinenumbers;

DWORD   Characteristics;

} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

#define IMAGE_SIZEOF_SECTION_HEADER          40

字段名称

类型

描述

Name

BYTE

节的ASCII名称。节名不保证一定是以NULL结尾的。如果你指定了长于8个字符的节名，链接器会把它截短为8个字符。在OBJ文件中存在一个机制允许更长的节名。节名通常以一个句点开始，但这并不是必须的。节名中有一个“$”时链接器会对之进行特殊处理。前面带有“$”的相同名字的节将会被合并。合并的顺序是按照“$”后面字符的字母顺序进行合并的

PhysicalAddress

DWORD

VirtualSize

DWORD

指出实际被使用的节的大小。这个域的值可以大于或小于SizeOfRawData域的值。如果VirtualSize的值大，SizeOfRawData就是可执行文件中已初始化数据的大小，剩下的字节用0填充。在OBJ文件中这个域被设为0。

VirtualAddress

DWORD

在可执行文件中，是节被加载到内存中后的RVA。在OBJ文件中应该被设为0

SizeOfRawData

DWORD

在可执行文件或OBJ文件中该节所占用的字节大小。对于可执行文件，这个值必须是PE头中给出的文件对齐值的倍数。如果是0，则说明这个节中的数据是未初始的。

PointerToRawData

DWORD

节在磁盘文件中的偏移。对于可执行文件，这个值必须是PE头部给出的文件对齐值的倍数。

PointerToRelocations

DWORD

节的重定位数据的文件偏移。只用于OBJ文件，在可执行文件中被设为0。对于OBJ文件，如果这个域的值不为0的话，它就指向一个IMAGE_RELOCATION结构数组。

PointerToLinenumbers

DWORD

节的COFF样式行号的文件偏移。如果非0，则指向一个IMAGE_LINENUMBER结构数组。只在COFF行号被生成时使用。

NumberOfRelocations

WORD

PointerToRelocations 指向的重定位的数目。在可执行文件中应该是0。

NumberOfLinenumbers

WORD

NumberOfRelocations 域指向的行号的数目。只在COFF行号被生成时使用。

Characteristics

WORD

被或到一起的一些标记，用来表示节的属性。这些标记中很多都可以通过链接器选项/SECTION来设置。

值

描述

IMAGE_SCN_CNT_CODE

节中包含代码。

IMAGE_SCN_MEM_EXECUTE

节是可执行的。

IMAGE_SCN_CNT_INITIALIZED_DATA

节中包含已初始化数据。

IMAGE_SCN_CNT_UNINITIALIZED_DATA

节中包含未初始化数据。

IMAGE_SCN_MEM_DISCARDABLE

节可被丢弃。用于保存链接器使用的一些信息，包括.debug$节。

IMAGE_SCN_MEM_NOT_PAGED

节不可被页交换，因此它总是存在于物理内存中。经常用于内核模式的驱动程序。

IMAGE_SCN_MEM_SHARED

包含节的数据的物理内存页在所有用到这个可执行体的进程之间共享。因此，每个进程看到这个节中的数据值都是完全一样的。这对一个进程的所有实例之间共享全局变量很有用。要使一个节共享，可使用/section:name,S 链接器选项。

IMAGE_SCN_MEM_READ

节是可读的。几乎总是被设置。

IMAGE_SCN_MEM_WRITE

节是可写的。

IMAGE_SCN_LNK_INFO

节中包含链接器使用的信息。只在OBJ文件中存在。

IMAGE_SCN_LNK_REMOVE

节中的数据不会成为映像的一部分。只出现在OBJ文件中。

IMAGE_SCN_LNK_COMDAT

节中的内容是公共数据(comdat)。公共数据是指可被定义在多个OBJ文件中的数据。链接器将选择一个包含到可执行文件中。Comdat 对于支持C++模板函数和在函数级别上的链接是至关重要的。Comdat节只出现在OBJ文件中。

IMAGE_SCN_ALIGN_XBYTES

在最终的可执行文件中这个节中数据的对齐大小。它可有许多取值(_4BYTES，_8BYTES，_16BYTES等)。如果没有被指定，缺省是16字节。这些标记只在OBJ文件中被设置。

Dumpbin /disasm main.obj >mainasm.txt

//objMath.SubData(nGlobalData,3);以下是执行该函数调用的汇编代码

00000080: 8B F4              mov         esi,esp

00000082: 83 EC 08           sub         esp,8

00000085: DD 05 00 00 00 00   fld         qword ptr [__real@4008000000000000]

0000008B: DD 1C 24           fstp        qword ptr [esp]

0000008E: DB 05 00 00 00 00    fild        dword ptr [?nGlobalData@@3HA]

00000094: 83 EC 08            sub         esp,8

00000097: DD 1C 24           fstp        qword ptr [esp]

0000009A: 8D 4D EC           lea         ecx,[ebp-14h]

0000009D: FF 15 00 00 00 00    call dword ptr [__imp_?SubData@DemoMath@@QAEXNN@Z]

000000A3: 3B F4              cmp         esi,esp

000000A5: E8 00 00 00 00       call        __RTC_CheckEsp

SECTION HEADER #16           //代码段的信息摘要。Subdata函数所在的代码段

.text name

0 physical address

0 virtual address

5C size of raw data

2088 file pointer to raw data (00002088 to 000020E3)

20E4 file pointer to relocation table

0 file pointer to line numbers

4 number of relocations

0 number of line numbers

60501020 flags

Code

COMDAT; sym= "public: void __thiscall DemoMath::SubData(double,double)"

16 byte align

Execute Read

RAW DATA #16                  //代码段的二进制数据内容，红色字体表示需要重定位的位置。被//VirtualAddress字段指定。

00000000: 55 8B EC 81 EC CC 00 00 00 53 56 57 51 8D BD 34  U.ì.ìì...SVWQ.?4

00000010: FF FF FF B9 33 00 00 00 B8 CC CC CC CC F3 AB 59  ???13...?ììììó?Y

00000020: 89 4D F8 A1 00 00 00 00 83 C0 01 A3 00 00 00 00  .M??.....à.￡....

00000030: DD 45 08 DC 65 10 83 EC 08 DD 1C 24 8B 45 F8 8B  YE.üe..ì.Y.$.E?.

00000040: 08 E8 00 00 00 00 5F 5E 5B 81 C4 CC 00 00 00 3B  .è...._^[.?ì...;

00000050: EC E8 00 00 00 00 8B E5 5D C2 10 00              ìè.....?]?..

RELOCATIONS #16               //代码段的重定位信息。

Symbol     Symbol

Offset     Type                    Applied To        Index      Name

--------  ----------------  -----------------  --------  ------

00000024  DIR32                     00000000         F  ?nOperTimes@@3HA (int nOperTimes)

0000002C  DIR32                     00000000         F  ?nOperTimes@@3HA (int nOperTimes)

00000042  REL32                     00000000        59  ?OutPutInfo@DemoOutPut@@QAEXN@Z

00000052  REL32                     00000000        3F  __RTC_CheckEsp

typedef struct _IMAGE_RELOCATION

{

union

{

DWORD   VirtualAddress;

DWORD   RelocCount;      // Set to the real count when IMAGE_SCN_LNK_NRELOC_OVFL is set

};

DWORD   SymbolTableIndex;

WORD    Type;

} IMAGE_RELOCATION;

typedef IMAGE_RELOCATION UNALIGNED *PIMAGE_RELOCATION;

字段名称

类型

描述

VirtualAddress

DWORD

该字段指向代码段中的一个地址。该地址所包含的数据是需要重定位的符号的地址。这部分数据将要被重定位修正。该字段指向了这个数据的第一个字节。上面的示例中，红色字体标记的部分被该字段指向。

RelocCount

DWORD

SymbolTableIndex

DWORD

需要重定位的符号在符号表中的索引，该值为符号表数组的索引。通过该值可以检索符号在符号表中的信息。

Type

WORD

一般分两种类型。DIR32表示32位绝对地址；REL32表示32位相对地址。在执行重定位的时候，对于绝对地址类型，将被替换为符号的绝对地址；而对于相对地址类型，将被替换为符号的相对地址，即：符号相对于被修正位置的地址差。

typedef struct _IMAGE_LINENUMBER

{

union

{

DWORD   SymbolTableIndex;    // Symbol table index of function name if Linenumber is 0.

DWORD   VirtualAddress;      // Virtual address of line number.

} Type;

WORD    Linenumber;             // Line number.

} IMAGE_LINENUMBER;

typedef IMAGE_LINENUMBER UNALIGNED *PIMAGE_LINENUMBER;

字段名称

类型

描述

SymbolTableIndex

DWORD

符号在符号表中的索引

VirtualAddress

DWORD

符号的地址值

Linenumber

WORD

行号

000 00847809 ABS    notype       Static       | @comp.id    //绝对值常量

001 00000001 ABS    notype       Static       | @feat.00     //绝对值常量

002 00000000 SECT1  notype       Static       | .drectve      //段名称

//段名称符号下面紧跟段的信息。每行占用一个符号索引的位置，所以符号索引不是连续的。

Section length  201, #relocs    0, #linenums    0, checksum        0

Relocation CRC 00000000

005 00000000 SECT4  notype       External     | ?nOperTimes@@3HA (int nOperTimes)  //变量

006 00000000 SECT1A  notype ()    External     | ?DivData@DemoMath@@QAEXNN@Z  //函数

007 00000000 UNDEF  notype ()    External     | ?OutPutInfo@DemoOutPut@@QAEXPBD@Z //外部函数

typedef struct _IMAGE_SYMBOL

{

union

{

BYTE    ShortName[8];

Struct

{

DWORD   Short;     // if 0, use LongName

DWORD   Long;      // offset into string table

} Name;

DWORD   LongName[2];    // PBYTE [2]

} N;

DWORD   Value;

SHORT   SectionNumber;

WORD    Type;

BYTE    StorageClass;

BYTE    NumberOfAuxSymbols;

} IMAGE_SYMBOL;

typedef IMAGE_SYMBOL UNALIGNED *PIMAGE_SYMBOL;

字段名称

类型

描述

ShortName

BYTE

小于8个字节的符号名称存储于此。

Short

DWORD

0表示符号名称位于字符串表中。

Long

DWORD

符号名称在字符串表中的偏移量。

LongName

DWORD

Value

DWORD

符号的值。对于变量或函数来说，符号值就是它们的地址。根据符号存储类型的不同，符号值有不同的解释。

SectionNumber

SHORT

符号所在的段落。ABS表示符号是个绝对值，是个常量；UNDEF表示符号是未定义的，即该符号的定义在其他段中；SECT1表示该符号位于编号为1的段中。

Type

WORD

符号的类型。Notype表示变量；notype()表示函数。

StorageClass

BYTE

符号的存储类型。Static表示局部变量，文件内部可见；external表示全局变量，全局范围内可见。

NumberOfAuxSymbols

BYTE

附加记录的数量。

StorageClass

SectionNumber

Value

Static

SECTn（n为1，2，3…）

如果值不为零，表示符号在段内偏移。

SECTn（n为1，2，3…）

如果值为零，表示这个符号为段名。

ABS

常量的值。

External

UNDEF

符号为全局变量/函数，符号定义在外部文件中，值待定。

SECTn（n为1，2，3…）

符号为全局变量/函数，符号定义在当前文件中，值表示符号在段内偏移。

typedef struct _IMAGE_ARCHIVE_MEMBER_HEADER

{

BYTE     Name[16];                          // File member name - `/' terminated.

BYTE     Date[12];                          // File member date - decimal.

BYTE     UserID[6];                         // File member user id - decimal.

BYTE     GroupID[6];                        // File member group id - decimal.

BYTE     Mode[8];                           // File member mode - octal.

BYTE     Size[10];                          // File member size - decimal.

BYTE     EndHeader[2];                      // String to end header.

} IMAGE_ARCHIVE_MEMBER_HEADER, *PIMAGE_ARCHIVE_MEMBER_HEADER;

Dumpbin /all DemoDlld.dll >DemoDll.txt

typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header

WORD   e_magic;                     // 魔术数字

WORD   e_cblp;                      // 文件最后页的字节数

WORD   e_cp;                        // 文件页数

WORD   e_crlc;                      // 重定义元素个数

WORD   e_cparhdr;                   // 头部尺寸，以段落为单位

WORD   e_minalloc;                  // 所需的最小附加段

WORD   e_maxalloc;                  // 所需的最大附加段

WORD   e_ss;                        // 初始的SS值

WORD   e_sp;                        // 初始的SP值

WORD   e_csum;                      // 校验和

WORD   e_ip;                        // 初始的IP值

WORD   e_cs;                        // 初始的CS值

WORD   e_lfarlc;                    // 重分配表文件地址

WORD   e_ovno;                      // 覆盖号

WORD   e_res[4];                    // 保留字

WORD   e_oemid;                     // OEM 标识符

WORD   e_oeminfo;                   // OEM information; e_oemid specific

WORD   e_res2[10];                  // 保留字

LONG   e_lfanew;                    // PE头的地址

} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

typedef struct _IMAGE_NT_HEADERS

{

DWORD Signature;                          //PE头标识

IMAGE_FILE_HEADER FileHeader;             //PE文件物理分布信息

IMAGE_OPTIONAL_HEADER32 OptionalHeader;   //PE文件逻辑分布信息

} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

OPTIONAL HEADER VALUES

//以下为标准域的信息

10B magic # (PE32)

9.00 linker version

5800 size of code

4800 size of initialized data

0 size of uninitialized data

11159 entry point (10011159) @ILT+340(__DllMainCRTStartup@12)

1000 base of code

1000 base of data

//以下为WinNT附加域的信息

10000000 image base (10000000 to 1001CFFF)

1000 section alignment

200 file alignment

5.00 operating system version

0.00 image version

5.00 subsystem version

0 Win32 version

1D000 size of image

400 size of headers

0 checksum

2 subsystem (Windows GUI)

140 DLL characteristics

Dynamic base

NX compatible

100000 size of stack reserve

1000 size of stack commit

100000 size of heap reserve

1000 size of heap commit

0 loader flags

10 number of directories

//以下为数据目录的信息

18AD0 [     2BA] RVA [size] of Export Directory

1A000 [      50] RVA [size] of Import Directory

1B000 [     C09] RVA [size] of Resource Directory

0 [       0] RVA [size] of Exception Directory

0 [       0] RVA [size] of Certificates Directory

1C000 [     38C] RVA [size] of Base Relocation Directory

17520 [      1C] RVA [size] of Debug Directory

0 [       0] RVA [size] of Architecture Directory

0 [       0] RVA [size] of Global Pointer Directory

0 [       0] RVA [size] of Thread Storage Directory

0 [       0] RVA [size] of Load Configuration Directory

0 [       0] RVA [size] of Bound Import Directory

1A224 [     1D4] RVA [size] of Import Address Table Directory

0 [       0] RVA [size] of Delay Import Directory

0 [       0] RVA [size] of COM Descriptor Directory

0 [       0] RVA [size] of Reserved Directory

//数据目录中数据元素的个数

#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES    16

//可选头的定义

typedef struct _IMAGE_OPTIONAL_HEADER

{

//标准域

WORD    Magic;  //魔法数字

BYTE    MajorLinkerVersion;//链接器的最大版本号

BYTE    MinorLinkerVersion;//链接器的最小版本号

DWORD   SizeOfCode;//可执行代码长度

DWORD   SizeOfInitializedData;//初始化数据的长度（data段）

DWORD   SizeOfUninitializedData;//未初始化数据的长度（bss段）

DWORD   AddressOfEntryPoint;//代码的入口地址，程序从此处开始执行

DWORD   BaseOfCode;//可执行代码的起始位置

DWORD   BaseOfData;//初始化数据的起始位置

//NT附件域

DWORD   ImageBase;//载入程序首选的相对虚拟地址

DWORD   SectionAlignment;//段加载到内存以后的对齐方式

DWORD   FileAlignment;//段在文件中的对齐方式

WORD    MajorOperatingSystemVersion;//操作系统最大版本号

WORD    MinorOperatingSystemVersion;//操作系统最小版本号

WORD    MajorImageVersion;//程序最大版本号

WORD    MinorImageVersion;//程序最小版本号

WORD    MajorSubsystemVersion;//子程序最大版本号

WORD    MinorSubsystemVersion;//子程序最小版本号

DWORD   Win32VersionValue;//这个值一直为零

DWORD   SizeOfImage;//程序加载到内存以后，占用内存的大小。

DWORD   SizeOfHeaders;//文件头部总大小

DWORD   CheckSum;//校验和

WORD    Subsystem;//一个标明可执行文件所期望的子系统的枚举值

WORD    DllCharacteristics;//dll状态

DWORD   SizeOfStackReserve;//保留栈大小

DWORD   SizeOfStackCommit;//启动后实际申请栈数

DWORD   SizeOfHeapReserve;//保留堆的大小

DWORD   SizeOfHeapCommit;//启动后实际申请堆数

DWORD   LoaderFlags;

DWORD   NumberOfRvaAndSizes;

//数据目录的定义

IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];

} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

字段名称

类型

描述

Magic

WORD

一个签名，确定这是什么类型的头。两个最常用的值是IMAGE_NT_OPTIONAL_HDR32_MAGIC 0x10b

和IMAGE_NT_OPTIONAL_HDR64_MAGIC 0x20b.

MajorLinkerVersion

BYTE

创建可执行文件的链接器的主版本号。对于Microsoft的链接器生成的PE文件，这个版本号的Visual Studio的版本号相一致

MinorLinkerVersion

BYTE

创建可执行文件的链接器的次版本号

SizeOfCode

DWORD

所有具有IMAGE_SCN_CNT_CODE属性的节的总的大小

SizeOfInitializedData

DWORD

所有包含已初始数据的节的总的大小。

SizeOfUninitializedData

DWORD

所有包含未初始化数据的节的总的大小。这个域总是0，因为链接器可以把未初始化数据附加到常规数据节的末尾。

AddressOfEntryPoint

DWORD

文件中将被执行的第一个代码字节的RVA。对于DLL，这个进入点将在进程初始化和关闭时，以及线程被创建和销毁时调用。在大多数可执行文件中，这个地址并不直接指向main，WinMain或DllMain函数，而是指向运行时库代码，由运行时库调用前述函数。在DLL中，这个域可以被设为0，这样的话上面所说的通知就不能被接收到。链接器选项/NOENTRY可以设置这个域为0。

BaseOfCode

DWORD

加载到内存后代码的第一个字节的RVA。

BaseOfData

DWORD

理论上，它表示加载到内存后数据的第一个字节的RVA。然而，这个域的值对于不同版本的Microsoft链接器是不一致的。在64位的可执行文件中这个域不出现。

ImageBase

DWORD

文件在内存中的首选加载地址。加载器尽可能地把PE文件加载到这个地址(就是说，如果当前这块内存没有被占用，它是对齐的并且是一个合法的地址，等等)。如果可执行文件被加载到这个地址，加载器就可以跳过进行基址重定位（在这篇文章的第二部分描述）这一步。对于EXE，缺省的ImageBase是0x400000。对于DLL，缺省是0x10000000。在链接时可以通过/BASE 选项来指定ImageBase，或者以后用REBASE工具重新设置。

SectionAlignment

DWORD

加载到内存后节的对齐大小。这个值必须大于等于FileAlignment（下一个域）。缺省的对齐值是目标CPU的页大上。对于运行在Windows 9x或Windows Me下的用户模式可执行文件，最小对齐大小是一页(4KB)。这个域可以通过链接器选项/ALIGN来设置。

FileAlignment

DWORD

在PE文件中节的对齐大小。对于x86下的可执行文件，这个值通常是0x200或0x1000。不同版本的Microsoft链接器缺省值不同。这个值必须是2的幂，并且如果SectionAlignment小于CPU的页大小，这个域必须和SectionAlignment相匹配。链接器选项/OPT:WIN98可设置x86可执行文件的文件对齐为0x1000，/OPT:NOWIN98设置文件对齐为0x200。

MajorOperatingSystemVersion

WORD

所要求的操作系统的主版本号。随着那么多版本Windows的出现，这个域的值就变得很不确切。

MinorOperatingSystemVersion

WORD

所要求的操作系统的次版本号。

MajorImageVersion

WORD

这个文件的主版本号。不被系统使用并可设为0。可以通过链接器选项/VERSION来设置。

MinorImageVersion

WORD

这个文件的次版本号。

MajorSubsystemVersion

WORD

可执行文件所要求的操作子系统的主版本号。它曾经被用来表示需要较新的Windows 95或Windows NT用户界面，而不是老版本的Windows NT界面。今天随着各种不同版本Windows的出现，这个域已不被系统使用，并且通常被设为4。可通过链接器选项/SUBSYSTEM设置这个域的值。

MinorSubsystemVersion

WORD

执行文件所要求的操作子系统的次版本号。

Win32VersionValue

DWORD

不被使用的域，通常设为0。

SizeOfImage

DWORD

映像的大小。它表示了加载文件到内存中时系统必须保留的内存的数量。这个域的值必须是SectionAlignmnet的倍数。

SizeOfHeaders

DWORD

MS-DOS头，PE头和节表的总的大小。PE文件中所有这些项目出现在任何代码或数据节之前。这个域的值被调整为文件对齐大小的整数倍。

CheckSum

DWORD

映像的校验和。IMAGEHLP.DLL中的CheckSumMappedFile函数可以计算出这个值。校验和用于内核模式的驱动和一些系统DLL。对于其它的，这个域可以为0。当使用链接器选项/RELEASE时校验和被放入文件中。

Subsystem

WORD

指示可执行文件期望的子系统（用户界面类型）的枚举值。这个域只用于EXE。一些重要的值包括：

IMAGE_SUBSYSTEM_NATIVE

// 映像不需要子系统

IMAGE_SUBSYSTEM_WINDOWS_GUI

// 使用Windows GUI

IMAGE_SUBSYSTEM_WINDOWS_CUI

// 作为控制台程序运行。

// 运行时，操作系统创建一个控制台

// 窗口并提供stdin，stdout和stderr

// 文件句柄。

DllCharacteristics

WORD

标记DLL的特性。对应于IMAGE_DLLCHARACTERISTICS_xxx定义。当前的值是：

IMAGE_DLLCHARACTERISTICS_NO_BIND

// 不要绑定这个映像

IMAGE_DLLCHARACTERISTICS_WDM_DRIVER

// WDM模式的驱动程序

IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE

// 当终端服务加载一个不是

// Terminal- Services-aware 的应用程

// 序时，它也加载一个包含兼容代码

// 的DLL。

SizeOfStackReserve

DWORD

在EXE文件中，为线程保留的堆栈大小。缺省是1MB，但并不是所有的内存一开始都被提交。

SizeOfStackCommit

DWORD

在EXE文件中，为堆栈初始提交的内存数量。缺省情况下，这个域是4KB。

SizeOfHeapReserve

DWORD

在EXE文件中，为默认进程堆初始保留的内存大小。缺省是1MB。然而在当前版本的Windows中，堆不经过用户干涉就能超出这里指定的大小。

SizeOfHeapCommit

DWORD

在EXE文件中，提交到堆的内存大小。缺省情况下，这里的值是4KB。

LoaderFlags

DWORD

不使用。

NumberOfRvaAndSizes

DWORD

在IMAGE_NT_HEADERS结构的末尾是一个IMAGE_DATA_DIRECTORY结构数组。此域包含了这个数组的元素个数。自从最早的Windows NT发布以来这个域的值一直是16。

typedef struct _IMAGE_DATA_DIRECTORY

{

DWORD   VirtualAddress; //被指向元素表的起始RVA地址。

DWORD   Size;           //被指向元素表的长度

} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES    16

序号

索引

描述

0

IMAGE_DIRECTORY_ENTRY_EXPORT

指向导出表(一个IMAGE_EXPORT_DIRECTORY结构)。

1

IMAGE_DIRECTORY_ENTRY_IMPORT

指向导入表(一个IMAGE_IMPORT_DESCRIPTOR结构数组)。

2

IMAGE_DIRECTORY_ENTRY_RESOURCE

指向资源(一个IMAGE_RESOURCE_DIRECTORY结构。

3

IMAGE_DIRECTORY_ENTRY_EXCEPTION

指向异常处理表(一个IMAGE_RUNTIME_FUNCTION_ENTRY结构数组)。CPU特定的并且基于表的异常处理。用于除x86之外的其它CPU上。

4

IMAGE_DIRECTORY_ENTRY_SECURITY

指向一个WIN_CERTIFICATE结构的列表，它定义在WinTrust.H中。不会被映射到内存中。因此，VirtualAddress域是一个文件偏移，而不是一个RVA。

5

IMAGE_DIRECTORY_ENTRY_BASERELOC

指向基址重定位信息。

6

IMAGE_DIRECTORY_ENTRY_DEBUG

指向一个IMAGE_DEBUG_DIRECTORY结构数组，其中每个结构描述了映像的一些调试信息。早期的Borland链接器设置这个IMAGE_DATA_DIRECTORY结构的Size域为结构的数目，而不是字节大小。要得到IMAGE_DEBUG_DIRECTORY结构的数目，用IMAGE_DEBUG_DIRECTORY 的大小除以这个Size域。

7

IMAGE_DIRECTORY_ENTRY_ARCHITECTURE

指向特定架构数据，它是一个IMAGE_ARCHITECTURE_HEADER结构数组。不用于x86或IA-64，但看来已用于DEC/Compaq Alpha。

8

IMAGE_DIRECTORY_ENTRY_GLOBALPTR

在某些架构体系上VirtualAddress域是一个RVA，被用来作为全局指针（gp）。不用于x86，而用于IA-64。Size域没有被使用。参见2000年11月的Under The Hood 专栏可得到关于IA-64 gp的更多信息。

9

IMAGE_DIRECTORY_ENTRY_TLS

指向线程局部存储初始化节。

10

IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG

指向一个IMAGE_LOAD_CONFIG_DIRECTORY结构。IMAGE_LOAD_CONFIG_DIRECTORY中的信息是特定于Windows NT、Windows 2000和 Windows XP的(例如 GlobalFlag 值)。要把这个结构放到你的可执行文件中，你必须用名字__load_config_used 定义一个全局结构，类型是IMAGE_LOAD_CONFIG_DIRECTORY。对于非x86的其它体系，符号名是_load_config_used (只有一个下划线)。如果你确实要包含一个IMAGE_LOAD_CONFIG_DIRECTORY，那么在 C++ 中要得到正确的名字比较棘手。链接器看到的符号名必须是__load_config_used (两个下划线)。C++ 编译器会在全局符号前加一个下划线。另外，它还用类型信息修饰全局符号名。因此，要使一切正常，在 C++ 中就必须像下面这样使用：

extern "C"

IMAGE_LOAD_CONFIG_DIRECTORY _load_config_used = {...}

11

IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT

指向一个 IMAGE_BOUND_IMPORT_DESCRIPTOR结构数组，对应于这个映像绑定的每个DLL。数组元素中的时间戳允许加载器快速判断绑定是否是新的。如果不是，加载器忽略绑定信息并且按正常方式解决导入API。

12

IMAGE_DIRECTORY_ENTRY_IAT

指向第一个导入地址表(IAT)的开始位置。对应于每个被导入DLL的IAT都连续地排列在内存中。Size域指出了所有IAT的总的大小。在写入导入函数的地址时加载器使用这个地址和Size域指定的大小临时地标记IAT为可读写。

13

IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT

指向延迟加载信息，它是一个CImgDelayDescr结构数组，定义在Visual C++的头文件DELAYIMP.H中。延迟加载的DLL直到对它们中的API进行第一次调用发生时才会被装入。Windows中并没有关于延迟加载DLL的知识，认识到这一点很重要。延迟加载的特征完全是由链接器和运行时库实现的。

14

IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR

在最近更新的系统头文件中这个值已被改名为IMAGE_DIRECTORY_ENTRY_COMHEADER。它指向可执行文件中.NET信息的最高级别信息，包括元数据。这个信息是一个IMAGE_COR20_HEADER结构。

15

IMAGE_DIRECTORY_ENTRY_EXPORT

指向导出表(一个IMAGE_EXPORT_DIRECTORY结构)。

//.idata段的信息摘要

SECTION HEADER #5

.idata name

1130 virtual size

1A000 virtual address (0041A000 to 0041B12F)

1200 size of raw data

7A00 file pointer to raw data (00007A00 to 00008BFF)

0 file pointer to relocation table

0 file pointer to line numbers

0 number of relocations

0 number of line numbers

C0000040 flags

Initialized Data

Read Write

//idata段的二进制数据内容

RAW DATA #5

0041A000: 64 A0 01 00 00 00 00 00 00 00 00 00 B4 A5 01 00  d?..........′￥..

0041A010: B0 A2 01 00 58 A1 01 00 00 00 00 00 00 00 00 00  °￠..X?..........

0041A020: 30 AB 01 00 A4 A3 01 00 F4 A1 01 00 00 00 00 00  0?..¤￡..??......

…………….

//导入表的信息

Section contains the following imports:

DemoDLLd.dll

41A2B0 Import Address Table   //导入地址表地址

41A064 Import Name Table    //导入名称表地址

0 time date stamp

0 Index of first forwarder reference

//导出地址表数组下标  符号名称

6 ?GetOperTimes@@YAHXZ

4 ?Area@DemoMath@@QAEXN@Z

5 ?DivData@DemoMath@@QAEXNN@Z

8 ?SubData@DemoMath@@QAEXNN@Z

3 ?AddData@DemoMath@@QAEXNN@Z

0 ??0DemoMath@@QAE@XZ

1 ??1DemoMath@@QAE@XZ

typedef struct _IMAGE_IMPORT_DESCRIPTOR

{

union

{

DWORD   Characteristics;      // 0 for terminating null import descriptor

DWORD   OriginalFirstThunk;   // RVA to original unbound IAT (PIMAGE_THUNK_DATA)

};

DWORD   TimeDateStamp;           // 0 if not bound,

// -1 if bound, and real date\time stamp

//     in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)

// O.W. date/time stamp of DLL bound to (Old BIND)

DWORD   ForwarderChain;         // -1 if no forwarders

DWORD   Name;

DWORD   FirstThunk;            // RVA to IAT (if bound this IAT has actual addresses)

} IMAGE_IMPORT_DESCRIPTOR;

typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;

字段名称

类型

描述

Characteristics

DWORD

OriginalFirstThunk

DWORD

指向导入名称表的相对虚拟地址。

TimeDateStamp

DWORD

如果可执行文件不与被导入DLL绑定时，该值为0；如果以旧的样式绑定时，改值为时间戳；如果以新的样式绑定时，该值为-1。

ForwarderChain

DWORD

第一个被转送符号的索引，如果没有转送，则设定为-1。

Name

DWORD

该字段存储了一个相对虚拟地址。该地址指向字符串表中某个字符串，这个字符串是导入DLL的名称。

FirstThunk

DWORD

指向导入地址表的相对虚拟地址。

typedef struct _IMAGE_THUNK_DATA32

{

union

{

DWORD ForwarderString;      // PBYTE

DWORD Function;             // PDWORD

DWORD Ordinal;

DWORD AddressOfData;        // PIMAGE_IMPORT_BY_NAME

} u1;

} IMAGE_THUNK_DATA32;

typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;

字段名称

类型

描述

ForwarderString

DWORD

指向一个转向字符串的相对虚拟地址。转向导入的时候使用。

Function

DWORD

被导入符号的虚拟地址。动态链接完成以后写入该值。

Ordinal

DWORD

被导入符号在导出表中的序号。编译链接完毕后，该值可能会被写入到PE文件中。该值与AddressofData字段互斥。

AddressOfData

DWORD

指向一个IMAGE_IMPORT_BY_NAME类型的数据结构。编译链接完毕后，该值可能会被写入到PE文件中。该值与Ordinal字段互斥。

typedef struct _IMAGE_IMPORT_BY_NAME

{

WORD    Hint;

BYTE    Name[1];

} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

字段名称

类型

描述

Hint

WORD

导入符号最有可能的序号值。在动态链接的时候，当用符号名导入时，首先用Hint值在导出符号表中查找该符号，如果能够查找到，则命中；如果不能查找到，则使用符号名进行二分法查找。

Name

BYTE

符号名称的字符串

//只读段的摘要信息

SECTION HEADER #3

.rdata name

1D8A virtual size

17000 virtual address (10017000 to 10018D89)

1E00 size of raw data

5C00 file pointer to raw data (00005C00 to 000079FF)

0 file pointer to relocation table

0 file pointer to line numbers

0 number of relocations

0 number of line numbers

40000040 flags

Initialized Data

Read Only

//只读段的二进制数据内容

RAW DATA #3

10017000: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................

10017010: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................

10017020: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................

…..

//导出表的信息

Section contains the following exports for DemoDLLd.dll

00000000 characteristics

51A86C37 time date stamp Fri May 31 17:24:07 2013

0.00 version

1 ordinal base

9 number of functions  //符号地址表元素的数量

9 number of names    //符号名称表元素的数量

ordinal  hint  RVA       name

//序号，数组下标，相对虚拟地址，符号名称

1    0 00011145 ??0DemoMath@@QAE@XZ

2    1 00011109 ??1DemoMath@@QAE@XZ

3    2 0001101E ??4DemoMath@@QAEAAV0@ABV0@@Z

4    3 000111C7 ?AddData@DemoMath@@QAEXNN@Z

5    4 0001116D ?Area@DemoMath@@QAEXN@Z

6    5 00011221 ?DivData@DemoMath@@QAEXNN@Z

7    6 000110B4 ?GetOperTimes@@YAHXZ

8    7 00011005 ?MulData@DemoMath@@QAEXNN@Z

9    8 0001114A ?SubData@DemoMath@@QAEXNN@Z

typedef struct _IMAGE_EXPORT_DIRECTORY

{

DWORD   Characteristics;

DWORD   TimeDateStamp;

WORD    MajorVersion;

WORD    MinorVersion;

DWORD   Name;

DWORD   Base;

DWORD   NumberOfFunctions;

DWORD   NumberOfNames;

DWORD   AddressOfFunctions;     // RVA from base of image

DWORD   AddressOfNames;         // RVA from base of image

DWORD   AddressOfNameOrdinals;  // RVA from base of image

} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

字段名称

类型

描述

Characteristics

DWORD

关于导出表的一些标记，目前没有被定义。

TimeDateStamp

DWORD

导出表被创建的时间。

MajorVersion

WORD

导出表的主版本号，目前没有使用，设为零。

MinorVersion

WORD

导出表的次版本号，目前没有使用，设为零。

Name

DWORD

一个相对虚拟地址，指向字符串表的一个位置，该位置存储了该Dll的名称。

Base

DWORD

通常设定为1，但也不是必须的。

序号 = Base + 符号地址数组下标。

NumberOfFunctions

DWORD

符号地址表中数据元素的个数。

NumberOfNames

DWORD

符号名称表以及符号名称序号对应关系表中数据元素的个数。由于符号名称表和符号名称序号对应关系表是一一对应的，所以它们的数组元素个数相同；该值可能会小于NumberOfFunctions，如果小于这个值，表示有一部分符号只通过序号对应，没有保存它们的名称。

AddressOfFunctions

DWORD

相对虚拟地址，指向符号地址表。

AddressOfNames

DWORD

相对虚拟地址，指向符号名称表。

AddressOfNameOrdinals

DWORD

相对虚拟地址，指向符号名称序号对应关系表。

符号虚拟内存地址 = 默认内存加载位置 + 相对虚拟内存地址

固定值 = DLL当前内存加载的位置 – DLL默认内存加载位置（0x10000000）

//基址重定位表的摘要信息

SECTION HEADER #7

.reloc name

524 virtual size

1C000 virtual address (1001C000 to 1001C523)

600 size of raw data

9A00 file pointer to raw data (00009A00 to 00009FFF)

0 file pointer to relocation table

0 file pointer to line numbers

0 number of relocations

0 number of line numbers

42000040 flags

Initialized Data

Discardable

Read Only

//基址重定位表的二进制数据内容

RAW DATA #7

1001C000: 00 10 01 00 68 00 00 00 4F 35 76 35 9F 35 A4 37

1001C010: AC 37 24 38 2C 38 A4 38 AC 38 30 39 41 39 49 39

1001C020: C4 39 CC 39 D8 39 C6 3A D7 3A DD 3A EE 3A FD 3A

………………

//以下是对二进制内容的翻译。

BASE RELOCATIONS #7

//基址重定位表的数据块 相对虚拟地址为：11000，块大小为68，该数据块对应一个4KB大小的内存页

11000 RVA,       68 SizeOfBlock

低12位偏移  类型             符号的地址  符号名称

54F  HIGHLOW            10019140  ?nOperTimes@@3HA (int nOperTimes)

576  HIGHLOW            100156AE

59F  HIGHLOW            10019004  ___security_cookie

…….

//下一个数据块，相对虚拟地址为：12000，块大小为F4，该数据块对应一个4KB大小的内存页

12000 RVA,       F4 SizeOfBlock

C  HIGHLOW            10012010

18  HIGHLOW            1001201C

146  HIGHLOW            10015718

16F  HIGHLOW            10019004  ___security_cookie

………

重定位信息个数 = （块大小 – sizeof（IMAGE_BASE_RELOCATION））/2

因为块大小以字节为单位表示，而重定位信息以字为单位表示，转化成字需要除2

类型

描述

IMAGE_REL_BASED_ABSOLUTE (0)

这种不需操作；用于将块按32位边界对齐。位置应该为0。

IMAGE_REL_BASED_HIGH (1)

重定位的高16位必须被用于被偏移量所指向的那个16位的WORD单元，此WORD是一个32位的DWORD的高位WORD。

IMAGE_REL_BASED_LOW (2)

重定位的低16位必须被用于被偏移量所指向的那个16位的WORD单元，此WORD是一个32位的DWORD的低位WORD。

IMAGE_REL_BASED_HIGHLOW (3)

重定位的全部32位必须应用于上面所说的全部32位。PE文件采用该类型。

IMAGE_REL_BASED_HIGHADJ (4)

这种修正要求一个全32位值。高16位定位于偏移量处，低16位定位在下一个数组元素（此数组元素包括在大小的域中）的偏移量处。它们两个需要被连成一个有符号的变量。加上32位的增量。然后加上0x8000 并将有符号变量的高16位存储在偏移量处的16位域中。”

IMAGE_REL_BASED_MIPS_JMPADDR (5)

IMAGE_REL_BASED_SECTION (6)

IMAGE_REL_BASED_REL32 (7)

typedef struct _IMAGE_BASE_RELOCATION

{

DWORD   VirtualAddress;

DWORD   SizeOfBlock;

//  WORD    TypeOffset[1];

} IMAGE_BASE_RELOCATION;

typedef IMAGE_BASE_RELOCATION UNALIGNED * PIMAGE_BASE_RELOCATION;

字段名称

类型

描述

VirtualAddress

DWORD

数据块的虚拟内存地址

SizeOfBlock

DWORD

数据块的大小

BASE RELOCATIONS #7

//基址重定位表的数据块 相对虚拟地址为：11000，块大小为68，该数据块对应一个4KB大小的内存页

11000 RVA,       68 SizeOfBlock

低12位偏移  类型             符号的地址  符号名称

54F  HIGHLOW            10019140  ?nOperTimes@@3HA (int nOperTimes)

576  HIGHLOW            100156AE

59F  HIGHLOW            10019004  ___security_cookie

…….

?GetOperTimes@@YAHXZ:

10011530: 55                 push        ebp

10011531: 8B EC              mov         ebp,esp

10011533: 81 EC C0 00 00 00  sub         esp,0C0h

10011539: 53                 push        ebx

1001153A: 56                 push        esi

1001153B: 57                 push        edi

1001153C: 8D BD 40 FF FF FF  lea         edi,[ebp-0C0h]

10011542: B9 30 00 00 00     mov         ecx,30h

10011547: B8 CC CC CC CC     mov         eax,0CCCCCCCCh

1001154C: F3 AB              rep stos    dword ptr es:[edi]

1001154E: A1 40 91 01 10     mov         eax,dword ptr [?nOperTimes@@3HA]

10011553: 5F                 pop         edi

10011554: 5E                 pop         esi

10011555: 5B                 pop         ebx

10011556: 8B E5              mov         esp,ebp

10011558: 5D                 pop         ebp

10011559: C3                 ret