PE文件格式详解(下)

来源： 作者： 出处：巧巧读书 2007-10-09 进入讨论组

• 关 键 词：
• windows nt
• director
• 物理地址
• 文件格式
• 虚拟内存

下一页 1 2 3 4 5 6 7 8 9 

引用:http://www.qqread.com/file-format/c354362.html

　　预定义段

　　一个Windows NT的应用程序典型地拥有9个预定义段，它们是.text、.bss、.rdata、.data、.rsrc、.edata、.idata、.pdata和.debug。一些应用程序不需要所有的这些段，同样还有一些应用程序为了自己特殊的需要而定义了更多的段。

这种做法与MS-DOS和Windows 3.1中的代码段和数据段相似。事实上，应用程序定义一个独特的段的方法是使用标准编译器来指示对代码段和数据段的命名，或者使用名称段编译器选项-NT——就和Windows 3.1中应用程序定义独特的代码段和数据段一样。

　　以下是一个关于Windows NT PE文件之中一些有趣的公共段的讨论。

　　可执行代码段，.text

　　Windows 3.1和Windows NT之间的一个区别就是Windows NT默认的做法是将所有的代码段（正如它们在Windows 3.1中所提到的那样）组成了一个单独的段，名为“.text”。既然Windows NT使用了基于页面的虚拟内存管理系统，那么将分开的代码放入不同的段之中的做法就不太明智了。因此，拥有一个大的代码段对于操作系统和应用程序开发者来说，都是十分方便的。

　　.text段也包含了早先提到过的入口点。IAT亦存在于.text段之中的模块入口点之前。（IAT在.text段之中的存在非常有意义，因为这个表事实上是一系列的跳转指令，并且它们的跳转目标位置是已固定的地址。）当Windows NT的可执行映像装载入进程的地址空间时，IAT就和每一个导入函数的物理地址一同确定了。要在.text段之中查找IAT，装载器只用将模块的入口点定位，而IAT恰恰出现于入口点之前。既然每个入口拥有相同的尺寸，那么向后退查找这个表的起始位置就很容易了。

　　数据段，.bss、.rdata、.data

　　.bss段表示应用程序的未初始化数据，包括所有函数或源模块中声明为static的变量。

　　.rdata段表示只读的数据，比如字符串文字量、常量和调试目录信息。

　　所有其它变量（除了出现在栈上的自动变量）存储在.data段之中。基本上，这些是应用程序或模块的全局变量。

　　资源段，.rsrc

　　.rsrc段包含了模块的资源信息。它起始于一个资源目录结构，这个结构就像其它大多数结构一样，但是它的数据被更进一步地组织在了一棵资源树之中。以下的IMAGE_RESOURCE_DIRECTORY结构形成了这棵树的根和各个结点。 //WINNT.H
typedef struct _IMAGE_RESOURCE_DIRECTORY {
　ULONG Characteristics;
　ULONG TimeDateStamp;
　USHORT MajorVersion;
　USHORT MinorVersion;
　USHORT NumberOfNamedEntries;
　USHORT NumberOfIdEntries;
} IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;
　　请看这个目录结构，你将会发现其中竟然没有指向下一个结点的指针。但是，在这个结构中有两个域NumberOfNamedEntries和NumberOfIdEntries代替了指针，它们被用来表示这个目录附有多少入口。附带说一句，我的意思是目录入口就在段数据之中的目录后边。有名称的入口按字母升序出现，再往后是按数值升序排列的ID入口。

进入讨论组讨论。

下一页 1 2 3 4 5 6 7 8 9 

【收藏此文】【大 中 小】【打印】【关闭】

较早的文章：PE文件格式详解(上)

较新的文章：PE文件格式文档