PE结构- 资源表

之前的笔记搬运

0x1 资源表结构

资源表位于PE文件中的数据目录数组下标为2的位置

1)

IMAGE_RESOURCE_DIRECTORY STRUCT
{
+00 h DWORD Characteristics ; 总是0
+04 h DWORD TimeDateStamp ; 资源的产生时刻
+08 h WORD MajorVersion ; 理论上为资源的版本，不过事实上总是0
+0A h WORD MinorVersion
+0C h WORD NumberOfNamedEntries ; 以名称（字符串）命名的入口数量
+0E h WORD NumberOfIdEntries ; 以ID（整型数字）命名的入口数量
};IMAGE_RESOURCE_DIRECTORY ENDS

后面紧接着由NumberOfNamedEntries + NumberOfIdEntries 之和个数的结构体：

2)

IMAGE_RESOURCE_DIRECTORY_ENTRY STRUCT
{
	+10 h DWORD Name ;
	//高位为1是指向一个Unicode字符串, 此串为资源名, 结构为IMAGE_RESOURCE_DIR_STRING_U,
	//当高位为0时低WORD量为资源ID

	+14 h DWORD OffsetToData ;
	//高位为1表示为目录, 指向一个IMAGE_RESOURCE_DIRECTORY结构体,
	//高位为0表示是资源文件, 指向一个IMAGE_RESOURCE_DATA_ENTRY结构体

} IMAGE_RESOURCE_DIRECTORY_ENTRY ENDS

3)

IMAGE_RESOURCE_DIR_STRING_U STRUCT
{
    +00 h DWORD Length ; 字符串的长度
    +04 h DWORD NameString ; UNICODE字符串，由于字符串是不定长的。由Length 制定长度
};IMAGE_RESOURCE_DIR_STRING_U ENDS

4)

IMAGE_RESOURCE_DATA_ENTRY STRUCT
{
    +00 h DWORD OffsetToData ; 资源数据的RVA
    +04 h DWORD Size ; 资源数据的长度
    +08 h DWORD CodePage ; 代码页, 一般为0
    +0C h DWORD Reserved ; 保留字段
};IMAGE_RESOURCE_DATA_ENTRY ENDS

资源ID类型

赏

感谢大佬

微信