对PE资源的研究

　2006-02-04 13:29:17　来源：WEB开发网　　　

核心提示：主页：http://www.delphibox.com邮箱：mantousoft@163.com前言：没什么好说的，发现这方面的资料全是英文的，对PE资源的研究，于是我一边研究，一边翻译，好像为译码方面设置的，RESERVED一定为0好了，一边写出自己的心得，希望大家尊重我的劳动成果

主页：http://www.delphibox.com
邮箱：mantousoft@163.com

前言：没什么好说的，发现这方面的资料全是英文的，于是我一边研究，一边翻译，一边写出自己的心得。
希望大家尊重我的劳动成果，转贴保持完整。

资源一般使用树来保存，通常包含3层，在NT下，最高层是类型，然后是名字，最后是语言。一个PE文件是否包含资源文件，通常检测块表（Section Table）中是否含有'.rsrc'，不过这个方法对有些PE文件无效。

一个类型表结构如下
―――――――――――――
|　RESOURCE DIRECTORY |
―――――――――――――
|　RESOURCE DATA　　　　　　 |
―――――――――――――
资源表1（Resource File Layout）

其中的资源目录（RESOURCE DIRECTORY）结构如下：

在DELPHI中的申明
{ Resources }
PIMAGE_RESOURCE_DIRECTORY = ^IMAGE_RESOURCE_DIRECTORY;
IMAGE_RESOURCE_DIRECTORY = packed record
　 Characteristics : DWord;
　 TimeDateStamp　 : DWORD;
　 MajorVersion　 : WORD;
　 MinorVersion　 : WORD;
　 NumberOfNamedEntries : WORD;
　 NumberOfIdEntries : WORD;
end

其中：

RESOURCE FLAGS
通常设置为0

TIME/DATE STAMP
资源编译器建立此资源的时间/日期，可能为0

MAJOR/MINOR VERSION
版本信息

# NAME ENTRY
使用名字的资源条目的个数，包含一个使用名字的目录条目的数组。
# ID ENTRY
使用ID数字的资源条目的个数，包含一个32位的整数ID号，同用名字一样。
这个目录紧接着会是一个不定长度的目录条目，不管用的名字还是ID，都是用升序排列。

这个不定长度的目录结构如下：

31　　 0
――――――――――――――――――――――
| NAME RVA/INTEGER ID　|
――――――――――――――――――――――
| E | DATA ENTRY RVA/SUBDIR RVA |
――――――――――――――――――――――
资源表3（Resource Directory Entry）

在DELPHI中的申明：
PIMAGE_RESOURCE_DIRECTORY_ENTRY = ^IMAGE_RESOURCE_DIRECTORY_ENTRY;
IMAGE_RESOURCE_DIRECTORY_ENTRY = packed record
　 Name: DWORD;　　　 // Or ID: Word (Union)
　 OffsetToData: DWORD;

INTEGER ID
包含一个识别资源的整数ID
如果在根目录，这个ID表示的意义如下
资源类型
　 1: cursor
　 2: bitmap
　 3: icon
　 4: menu
　 5: dialog
　 6: string table
　 7: font directory
　 8: font
　 9: accelerators
　 10: unformatted resource data
　 11: message table
　 12: group cursor
　 14: group icon
　 16: version information

NAME RVA
名字的相对实际地址，包含一个31位的相对资源的Image Base的地址。表的形式见表4

E 一位的不可缺少的识别码(mask 80000000h)
如果这位为0，则为Resource Data Entries，其中DATA RVA = 31位的(mask 7fffffffh) 数据条目的地址。结构见表5
如果这位为1，则表示接另一个子目录（Subdirectory Entry）。

{ 此函数检验 offset 是一个字符串名还是一个目录 }
{ IMAGE_RESOURCE_NAME_IS_STRING
= IMAGE_RESOURCE_DATA_IS_DIRECTORY
= $80000000 }
function HighBitSet(L: Longint): Boolean;
begin
Result := (L and IMAGE_RESOURCE_DATA_IS_DIRECTORY) <> 0;
end;

{ 下面两个函数用于去掉E位剩下的值或者指针 }
{IMAGE_OFFSET_STRip_HIGH = $7FFFFFFF;}
function StripHighBit(L: Longint): Longint;
begin
Result := L and IMAGE_OFFSET_STRIP_HIGH;
end;

function StripHighPtr(L: Longint): Pointer;
begin
Result := Pointer(L and IMAGE_OFFSET_STRIP_HIGH);
end;

在DELPHI中的申明
PIMAGE_RESOURCE_DIR_STRING_U = ^IMAGE_RESOURCE_DIR_STRING_U;
IMAGE_RESOURCE_DIR_STRING_U = packed record
　 Length　　　　 : WORD;
　 NameString　　 : array [0..0] of WCHAR;
end;

LENGTH
就是字符串的长度
UNICODE STRING
Unicode的字符串.

在DELPHI中的申明
PIMAGE_RESOURCE_DATA_ENTRY = ^IMAGE_RESOURCE_DATA_ENTRY;
IMAGE_RESOURCE_DATA_ENTRY = packed record
　 OffsetToData　 : DWORD;
　 Size　　　　　 : DWORD;
　 CodePage　　　 : DWORD;
　 Reserved　　　 : DWORD;
end;

DATA RVA
资源的相对实际地址，包含一个32位相对于资源Image Base的地址。
SIZE
资源的大小。
CODEPAGE
没什么说的，好像为译码方面设置的。
RESERVED
一定为0

好了，差不多资源这部分分析玩了，其它部分我还在研究：）