windows通用pe-()

1.1、PE中有关的基本概念

1.1.1、地址:

PE中涉及的地址有四类，分别是

1>虚拟内存地址(VA)

2>相对虚拟内存地址(RVA)

3>文件偏移地址(FOA)

4>特殊地址

1.1.2、指针

PE数据结构中某个字段储存的值是一个地址，这个字段就是指针

1.1.3、数据目录

为了使PE文件包含的各种数据可扩展，提供稳定的兼容性，所以引入了数据目录

PE中有一个数据结构称为数据目录，其中记录了所有可能的数据类型。

这些类型中，目前已定义的有15中，导出表，导入表，资源表，异常表，属性证书表，重定位表，调试数据，Architecture，Global Ptr，线程局部储存，加载配置表，绑定导入表，IAT，EAT，延迟导入表，和CLR运行时头部

1.1.4、节

为了程序中各种不同数据的相互独立、安全，Windows操作系统在加载可执行程序时，会为这些具有不同属性的数据分别分配标记有不同属性的页面(相同属性的数据可能会被放到同一个页面中)，以确保程序运行时的安全。正式基于这个原因，PE中才出现了所谓的节的概念。

节就是存放不同类型数据(代码、数据、常量、资源等)的地方，不同的节具有不同的访问权限。节是PE文件中存代码或数据的基本单元。增加节的数目会增加文件开销，但连接器在连接代码时会有更大的选择余地。一个接中的所有原始数据必须被加载到连续的内存空间中。

从操作系统加载角度来看，节是相同属性的组合。与数据目录不同的事，尽管数据类型不同，分别数据不同的数据目录，但是由于访问属性相同，便被归类到同一个节中。无论这个节最终占用多少个页面，所有页面均会被赋予相同的页面属性(只写，只写，可写，可读，可执行，不可执行等)

1.1.5、对齐

PE中规定了三类对齐:数据在内存中的对齐、数据在文件中的对齐、资源文件中资源数据的对齐

1>内存对齐

由于Windows操作系统对内存属性的设计以页为单位，所以通常节在内存中的对齐单位必须至少是一个页的大小。对32位的WindowsXP来说，此值是4KB(1000h)，而对于64位System来说，此值位8KB(2000h)

2>文件对齐

相对于内存对齐，文件对齐没有那么严格，为了提高磁盘利用率，通常，定义的节在文件中的对齐单位要远小于内存对齐的单位；通常以一个物理扇区的大小作为对齐粒度的值，即512byte，HEX表示为200h。(所以数据段、代码段等起始位置都是200h的倍数)

出于节约资源的考虑，操作系统允许节在内存和文件中的对齐尺寸不一致，这就直接造成了PE在文件中和在内存中的大小也会不一致。通常PE在内存中的尺寸要比在文件中的尺寸大。用户可以自己定义这些对齐的值

[注意：如果内存对齐被定义为小鱼操作系统页的大小，则文件对齐和内存对齐的值必须一致！

3>资源数据对齐

资源文件中，资源字节码部分一般要求以汉字(4个byte)方式对齐

1.1.6、Unicode字符串

汇编语言中，Unicode字符串被定义为一个结构体

typedef struct _UNICODE_STRING{

USHORT Length;

USHORT MAximumLength;

PWSTR Buffer;

} UNICODE_STRING, *PUNICODE_STRING;