WEB开发网
开发学院软件开发Delphi 对PE资源的研究 阅读

对PE资源的研究

 2006-02-04 13:29:17 来源:WEB开发网   
核心提示:主页:http://www.delphibox.com邮箱:mantousoft@163.com前言:没什么好说的,发现这方面的资料全是英文的,对PE资源的研究,于是我一边研究,一边翻译,好像为译码方面设置的,RESERVED一定为0好了,一边写出自己的心得,希望大家尊重我的劳动成果

主页:http://www.delphibox.com
邮箱:mantousoft@163.com

前言:没什么好说的,发现这方面的资料全是英文的,于是我一边研究,一边翻译,一边写出自己的心得。
希望大家尊重我的劳动成果,转贴保持完整。

资源一般使用树来保存,通常包含3层,在NT下,最高层是类型,然后是名字,最后是语言。一个PE文件是否包含资源文件,通常检测块表(Section Table)中是否含有'.rsrc',不过这个方法对有些PE文件无效。


一个类型表结构如下
―――――――――――――
| RESOURCE DIRECTORY  |
―――――――――――――
| RESOURCE DATA       |
―――――――――――――
 资源表1(Resource File Layout)


其中的资源目录(RESOURCE DIRECTORY)结构如下:


――――――――――――――――――――――――――
| RESOURCE FLAGS  |
――――――――――――――――――――――――――
| TIME/DATE STAMP  |
――――――――――――――――――――――――――
| MAJOR VERSION | MINOR VERSION |
――――――――――――――――――――――――――
| # NAME ENTRY | # ID ENTRY |
――――――――――――――――――――――――――
| RESOURCE DIR ENTRIES |
――――――――――――――――――――――――――
 资源表2(Resource Table Entry)


在DELPHI中的申明
{ Resources }
  PIMAGE_RESOURCE_DIRECTORY = ^IMAGE_RESOURCE_DIRECTORY;
  IMAGE_RESOURCE_DIRECTORY = packed record
   Characteristics : DWord;
   TimeDateStamp  : DWORD;
   MajorVersion   : WORD;
   MinorVersion   : WORD;
   NumberOfNamedEntries : WORD;
   NumberOfIdEntries : WORD;
  end


其中:


RESOURCE FLAGS
通常设置为0


TIME/DATE STAMP
资源编译器建立此资源的时间/日期,可能为0


MAJOR/MINOR VERSION
版本信息


# NAME ENTRY
使用名字的资源条目的个数,包含一个使用名字的目录条目的数组。
# ID ENTRY
使用ID数字的资源条目的个数,包含一个32位的整数ID号,同用名字一样。
这个目录紧接着会是一个不定长度的目录条目,不管用的名字还是ID,都是用升序排列。


这个不定长度的目录结构如下:


31   0
――――――――――――――――――――――
| NAME RVA/INTEGER ID |
――――――――――――――――――――――
| E | DATA ENTRY RVA/SUBDIR RVA |
――――――――――――――――――――――
 资源表3(Resource Directory Entry)


在DELPHI中的申明:
  PIMAGE_RESOURCE_DIRECTORY_ENTRY = ^IMAGE_RESOURCE_DIRECTORY_ENTRY;
  IMAGE_RESOURCE_DIRECTORY_ENTRY = packed record
   Name: DWORD;     // Or ID: Word (Union)
   OffsetToData: DWORD;


INTEGER ID
包含一个识别资源的整数ID
如果在根目录,这个ID表示的意义如下
资源类型
   1: cursor
   2: bitmap
   3: icon
   4: menu
   5: dialog
   6: string table
   7: font directory
   8: font
   9: accelerators
   10: unformatted resource data
   11: message table
   12: group cursor
   14: group icon
   16: version information


NAME RVA
名字的相对实际地址,包含一个31位的相对资源的Image Base的地址。表的形式见表4


E 一位的不可缺少的识别码(mask 80000000h)
如果这位为0,则为Resource Data Entries,其中DATA RVA = 31位的(mask 7fffffffh) 数据条目的地址。结构见表5
如果这位为1,则表示接另一个子目录(Subdirectory Entry)。


{ 此函数检验 offset 是一个字符串名还是一个目录 }
{ IMAGE_RESOURCE_NAME_IS_STRING
= IMAGE_RESOURCE_DATA_IS_DIRECTORY
= $80000000 }
function HighBitSet(L: Longint): Boolean;
begin
  Result := (L and IMAGE_RESOURCE_DATA_IS_DIRECTORY) <> 0;
end;


{ 下面两个函数用于去掉E位剩下的值或者指针 }
{IMAGE_OFFSET_STRip_HIGH = $7FFFFFFF;}
function StripHighBit(L: Longint): Longint;
begin
  Result := L and IMAGE_OFFSET_STRIP_HIGH;
end;


function StripHighPtr(L: Longint): Pointer;
begin
  Result := Pointer(L and IMAGE_OFFSET_STRIP_HIGH);
end;


每一个资源目录名为如下格式
――――――――――――――――――――――
| LENGTH | UNICODE STRING |
――――――――――――――――――――――
| LENGTH | UNICODE STRING |
――――――――――――――――――――――
 表4(Resource Directory String Entry)


在DELPHI中的申明
  PIMAGE_RESOURCE_DIR_STRING_U = ^IMAGE_RESOURCE_DIR_STRING_U;
  IMAGE_RESOURCE_DIR_STRING_U = packed record
   Length      : WORD;
   NameString    : array [0..0] of WCHAR;
  end;


LENGTH
就是字符串的长度
UNICODE STRING
Unicode的字符串.


资源数据表结构:
―――――――――――――
| DATA RVA |
―――――――――――――
| SIZE |
―――――――――――――
| CODEPAGE |
―――――――――――――
| RESERVED |
―――――――――――――
 表5(Resource Data Entry)


在DELPHI中的申明
  PIMAGE_RESOURCE_DATA_ENTRY = ^IMAGE_RESOURCE_DATA_ENTRY;
  IMAGE_RESOURCE_DATA_ENTRY = packed record
   OffsetToData   : DWORD;
   Size       : DWORD;
   CodePage     : DWORD;
   Reserved     : DWORD;
  end;


DATA RVA
资源的相对实际地址,包含一个32位相对于资源Image Base的地址。
SIZE
资源的大小。
CODEPAGE
没什么说的,好像为译码方面设置的。
RESERVED
一定为0


好了,差不多资源这部分分析玩了,其它部分我还在研究:)

Tags:PE 资源 研究

编辑录入:爽爽 [复制链接] [打 印]
赞助商链接