PE文件格式（3）

核心提示： Name2e64617461000000;".data"VirtualSize00000000;unusedVirtualAddress????????;yettofindoutSizeOfRawData????????;yettofindoutPointerToRaw

　　Name　　　　　　2e64617461000000　　;".data"
　　VirtualSize　　　　00000000　　　　　　;unused
　　VirtualAddress　　　????????　　　　　　;yettofindout
　　SizeOfRawData　　　????????　　　　　　;yettofindout
　　PointerToRawData　　????????　　　　　　;yettofindout
　　PointerToRelocations00000000　　　　　　;unused
　　PointerToLinenumbers00000000　　　　　　;unused
　　NumberOfRelocations　0000　　　　　　　　　;unused
　　NumberOfLinenumbers　0000　　　　　　　　　;unused
　　Characteristics　　400000c0　　　　　　;initialized,readable,writeable

下一个是0x188,由于节必须按照32字节对齐，所有填0到0x1a0:

　　000000000000　　　;padding
　　000000000000
　　000000000000
　　000000000000

现在第一节代码节来到了，开始于0x1a0，0x20字节长。

　　6A00　　　　　　　　　　;push　　　0x00000000
　　68????????　　　　　;push　　　offset_written
　　6A0D　　　　　　　　　　;push　　　0x0000000d
　　68????????　　　　　;push　　　offsethello_string
　　6AF5　　　　　　　　　　;push　　　0xfffffff5
　　2EFF15????????　　;call　　　dwordptrcs:__imp__GetStdHandle@4
　　50　　　　　　　　　　　;push　　　eax
　　2EFF15????????　　;call　　　dwordptrcs:__imp__WriteConsoleA@20
　　C3　　　　　　　　　　　;ret　　　

由于前面节的长度，不需要填0。数据节接着出现：起始于0x1c0: