标签：open thread attr 使用 gif hdr x11 optional tmp
来源 https://bbs.pediy.com/thread-247114.htm
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
|
（最左边是文件头的偏移量。） IMAGE_DOS_HEADER STRUCT { +0h WORD e_magic // MZ(4Dh 5Ah) DOS可执行文件标记 +2h WORD e_cblp +4h WORD e_cp +6h WORD e_crlc +8h WORD e_cparhdr +0ah WORD e_minalloc +0ch WORD e_maxalloc +0eh WORD e_ss +10h WORD e_sp +12h WORD e_csum +14h WORD e_ip +16h WORD e_cs +18h WORD e_lfarlc +1ah WORD e_ovno +1ch WORD e_res[4] +24h WORD e_oemid +26h WORD e_oeminfo +29h WORD e_res2[10] +3ch DWORD e_lfanew // RVA 指向PE文件头 } IMAGE_DOS_HEADER ENDS |
|
1
2
3
4
5
6
|
IMAGE_NT_HEADERS STRUCT {+0h DWORD Signature +4h IMAGE_FILE_HEADER FileHeader +18h IMAGE_OPTIONAL_HEADER32 OptionalHeader } IMAGE_NT_HEADERS ENDS |
|
1
2
3
4
5
6
7
8
9
10
|
struct IMAGE_FILE_HEADER{ WORD Machine; //运行平台 WORD NumberOfSections; //区块表的个数 DWORD TimeDataStamp;//文件创建时间，是从1970年至今的秒数 DWORD PointerToSymbolicTable;//指向符号表的指针 DWORD NumberOfSymbols;//符号表的数目 WORD SizeOfOptionalHeader;//IMAGE_NT_HEADERS结构中OptionHeader成员的大小，对于win32平台这个值通常是0x00e0 WORD Characteristics;//文件的属性值} |
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
|
typedef struct _IMAGE_OPTIONAL_HEADER{ // // Standard fields. //+18h WORD Magic; // 标志字, ROM 映像（0107h）,普通可执行文件（010Bh）+1Ah BYTE MajorLinkerVersion; // 链接程序的主版本号+1Bh BYTE MinorLinkerVersion; // 链接程序的次版本号+1Ch DWORD SizeOfCode; // 所有含代码的节的总大小+20h DWORD SizeOfInitializedData; // 所有含已初始化数据的节的总大小+24h DWORD SizeOfUninitializedData; // 所有含未初始化数据的节的大小+28h DWORD AddressOfEntryPoint; // 程序执行入口RVA+2Ch DWORD BaseOfCode; // 代码的区块的起始RVA+30h DWORD BaseOfData; // 数据的区块的起始RVA // // NT additional fields. 以下是属于NT结构增加的领域。 //+34h DWORD ImageBase; // 程序的首选装载地址+38h DWORD SectionAlignment; // 内存中的区块的对齐大小+3Ch DWORD FileAlignment; // 文件中的区块的对齐大小+40h WORD MajorOperatingSystemVersion; // 要求操作系统最低版本号的主版本号+42h WORD MinorOperatingSystemVersion; // 要求操作系统最低版本号的副版本号+44h WORD MajorImageVersion; // 可运行于操作系统的主版本号+46h WORD MinorImageVersion; // 可运行于操作系统的次版本号+48h WORD MajorSubsystemVersion; // 要求最低子系统版本的主版本号+4Ah WORD MinorSubsystemVersion; // 要求最低子系统版本的次版本号+4Ch DWORD Win32VersionValue; // 莫须有字段，不被病毒利用的话一般为0+50h DWORD SizeOfImage; // 映像装入内存后的总尺寸+54h DWORD SizeOfHeaders; // 所有头 + 区块表的尺寸大小+58h DWORD CheckSum; // 映像的校检和+5Ch WORD Subsystem; // 可执行文件期望的子系统+5Eh WORD DllCharacteristics; // DllMain()函数何时被调用，默认为 0+60h DWORD SizeOfStackReserve; // 初始化时的栈大小+64h DWORD SizeOfStackCommit; // 初始化时实际提交的栈大小+68h DWORD SizeOfHeapReserve; // 初始化时保留的堆大小+6Ch DWORD SizeOfHeapCommit; // 初始化时实际提交的堆大小+70h DWORD LoaderFlags; // 与调试有关，默认为 0 +74h DWORD NumberOfRvaAndSizes; // 下边数据目录的项数，这个字段自Windows NT 发布以来一直是16+78h IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]; // 数据目录表} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32; |
|
1
2
3
4
|
IMAGE_DATA_DIRECTORY STRUCT VirtualAddress DWORD ? ; 数据的起始RVA Size DWORD ? ; 数据块的长度IMAGE_DATA_DIRECTORY ENDS |
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
|
//打开文件m_hFile = CreateFile( m_DeleFileName,GENERIC_READ,NULL,NULL,OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL,NULL);DWORD dwSize = GetFileSize(m_hFile, NULL);PBYTE pBuf = new BYTE[dwSize]{};//读取ReadFile(m_hFile,pBuf,dwSize,&dwSize,NULL);//判断是否为PE文件m_pDos = PIMAGE_DOS_HEADER(pBuf);if (m_pDos->e_magic!=IMAGE_DOS_SIGNATURE){ MessageBox(L"不是有效的PE文件 \n"); CloseHandle(m_hFile); m_hFile = NULL; return;}m_pNTHeader = PIMAGE_NT_HEADERS(pBuf+m_pDos->e_lfanew);if (m_pNTHeader->Signature!= IMAGE_NT_SIGNATURE){ MessageBox(L"不是有效的PE文件 \n"); CloseHandle(m_hFile); m_hFile = NULL; return;}//读取文件头信息m_pFileHeader = &(m_pNTHeader->FileHeader);m_NumberOfSections.Format(L"%X",m_pFileHeader->NumberOfSections);m_TimeDateStamp.Format(L"%p", m_pFileHeader->TimeDateStamp);m_SizeOfOptionalHeader.Format(L"%X", m_pFileHeader->SizeOfOptionalHeader);//拓展头信息m_pOptionalHeader = &(m_pNTHeader->OptionalHeader);m_AddressOfEntryPoint.Format(L"%X",m_pOptionalHeader->AddressOfEntryPoint);m_SizeOfHeaders.Format(L"%X", m_pOptionalHeader->SizeOfHeaders);m_ImageBase.Format(L"%X", m_pOptionalHeader->ImageBase);m_SizeOfImage.Format(L"%X", m_pOptionalHeader->ImageBase);m_BaseOfCode.Format(L"%X", m_pOptionalHeader->BaseOfCode);m_DllCharacteristics.Format(L"%X", m_pOptionalHeader->DllCharacteristics);m_BaseOfData.Format(L"%X", m_pOptionalHeader->BaseOfData);m_NumberOfRvaAndSizes.Format(L"%X", m_pOptionalHeader->NumberOfRvaAndSizes);m_SectionAlignment.Format(L"%X", m_pOptionalHeader->SectionAlignment);m_FileAlignment.Format(L"%X", m_pOptionalHeader->FileAlignment);m_CheckSum.Format(L"%X", m_pOptionalHeader->CheckSum);m_Magic.Format(L"%X", m_pOptionalHeader->CheckSum);m_Subsystem.Format(L"%X", m_pOptionalHeader->Subsystem); |
============== End
标签：open thread attr 使用 gif hdr x11 optional tmp
原文地址：https://www.cnblogs.com/lsgxeva/p/9822289.html
