PE文件笔记六 节表和节
本帖最后由 lyl610abc 于 2021-4-4 14:44 编辑继续PE系列笔记的更新
PE其它笔记索引可前往：
(https://www.52pojie.cn/thread-1391994-1-1.html)
------
前面学习了PE的DOS部首和PE文件头，这次学习的结构为PE节表
PS：关于PE文件头中扩展PE头的**数据目录项**，其中包含了导入表、导出表、重定位表等等，暂且留作之后
------
# PE节表
## PE节表作用
表示Image的section头格式
## PE节表结构
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210330204244302.png)
------
| PE节表结构 | 对应C中的结构体 | 说明 |
| :--------------------------- | :---------------------------- | :---------------------------------------- |
| **多个**IMAGE_SECTION_HEADER | **多个**_IMAGE_SECTION_HEADER | 每个_IMAGE_SECTION_HEADER描述后面的一个节 |
------
## 结构体截图
在winnt.h中找到_IMAGE_SECTION_HEADER，得到以下截图（具体查找对应C结构体方法在(https://www.52pojie.cn/forum.php?mod=viewthread&tid=1391994&page=1&extra=#37411342_pe在c中的定义)中已经说明了，这里不再赘述）
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210330204852909.png)
------
## 结构体代码
```c
#define IMAGE_SIZEOF_SHORT_NAME 8
typedef struct _IMAGE_SECTION_HEADER {
BYTE Name;
union {
DWORD PhysicalAddress;
DWORD VirtualSize;
} Misc;
DWORD VirtualAddress;
DWORD SizeOfRawData;
DWORD PointerToRawData;
DWORD PointerToRelocations;
DWORD PointerToLinenumbers;
WORD NumberOfRelocations;
WORD NumberOfLinenumbers;
DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
#define IMAGE_SIZEOF_SECTION_HEADER 40
```
------
## 结构体成员分析
相比于扩展PE头，节表的成员并不算太多，但有部分成员仅针对.obj文件
下表为结构成员对应数据宽度和说明，加黑的成员为重点
| 成员 | 数据宽度 | 说明 |
| :------------------- | :------------- | :--------------------- |
| **Name** | BYTE=8字节| 节名称 |
| Misc.PhysicalAddress | DWORD（4字节） | 节的文件地址 |
| **Misc.VirtualSize** | DWORD（4字节） | 节的虚拟大小 |
| **VirtualAddress** | DWORD（4字节） | 节在内存中的偏移地址 |
| **SizeOfRawData** | DWORD（4字节） | 节在文件中对齐后的尺寸 |
| **PointerToRawData** | DWORD（4字节） | 节区在文件中的偏移 |
| PointerToRelocations | DWORD（4字节） | .obj文件有效 |
| PointerToLinenumbers | DWORD（4字节） | 调试相关 |
| NumberOfRelocations| WORD（2字节）| .obj文件有效 |
| NumberOfLinenumbers| WORD（2字节）| 行号表中行号的数量 |
| **Characteristics**| DWORD（4字节） | 节的属性 |
------
### Name
#### 官方翻译
一个8字节、用空填充的UTF-8字符串。如果字符串长度正好是8个字符，则没有结束空字符。对于较长的名称，该成员包含一个正斜杠(/)，后面是十进制数字的ASCII表示形式，**该数字是字符串表中的偏移量**。可执行映像**不使用**字符串表，也**不支持超过8个字符的节名**
#### 通俗版
ASCII字符串 可自定义 只截取8个 可以8个字节都是名字
------
### Misc
#### 官方翻译
Misc 双字，该字段是一个union型的数据，这是该节在**没有对齐前的真实尺寸**,该值**可以不准确**
------
#### 通俗版
这是一个联合结构，可以使用下面两个值其中的任何一个，**一般是取Misc.VirtualSize**
#### Misc.PhysicalAddress
文件地址
------
#### Misc.VirtualSize
节加载到内存时的总大小，以字节为单位。如果该值大于SizeOfRawData成员，则该section将被0填充。此字段仅对可执行Image有效，对于object files应设置为0
------
### VirtualAddress
#### 官方翻译
section载入内存时的第一个字节的地址，相对于image base。对于object files，这是应用重定位之前的第一个字节的地址
#### 通俗版
在内存中的偏移地址，加上ImageBase才是在内存中的真正地址（VA）
VA：Full Name Virtual Address（全名虚拟地址）， is the in-memory virtual address（是内存中的虚拟地址）
VirtualAddress又被称为节区的RVA地址，RVA：Relative Virtual Offset （相对虚拟偏移）
VA = RVA（VirtualAddress） + ImageBase ，即 内存中的虚拟地址 = 虚拟地址 + 镜像基地址
------
### SizeOfRawData
#### 官方翻译
**磁盘上**初始化数据的大小，以字节为单位。这个值必须是IMAGE_OPTIONAL_HEADER结构文件对齐**FileAlignment**成员的倍数。如果该值小于VirtualSize成员，则节的其余部分将被填充为0。如果该节只包含未初始化的数据，则该成员为零
#### 通俗版
节在文件中对齐后的尺寸
------
### PointerToRawData
#### 官方翻译
指向COFF文件中的第一页的文件指针。这个值必须是IMAGE_OPTIONAL_HEADER结构文件对齐**FileAlignment**成员的倍数。如果一个section只包含未初始化的数据，则将该成员设为0
------
#### 通俗版
节区在文件中的偏移，又被称为FOA：File Offset Address 文件偏移地址
------
### PointerToRelocations
#### 官方翻译
指向该节重定位项开始的文件指针。如果没有重新定位，则此值为零
#### 通俗版
在".obj"文件中使用，指向重定位表的指针
------
### PointerToLinenumbers
#### 官方翻译
指向section行号表开头的文件指针。如果没有COFF line numbers，该值为0
------
#### 通俗版
行号表的位置（供调试用）
------
### NumberOfRelocations
#### 官方翻译
section重定位表项的数量。对于可执行映像，此值为0
------
#### 通俗版
重定位表的个数（在OBJ文件中使用）
------
### NumberOfLinenumbers
#### 官方翻译
section的行号条目的数量
------
#### 通俗版
行号表中行号的数量
------
### Characteristics
#### 官方翻译
节的特征。定义了以下值
| 宏定义 | 值 | 含义 |
| -------------------------------- | ---------- | ------------------------------------------------------------ |
| 无 | 0x00000000 | 保留 |
| 无 | 0x00000001 | 保留 |
| 无 | 0x00000002 | 保留 |
| 无 | 0x00000004 | 保留 |
| IMAGE_SCN_TYPE_NO_PAD | 0x00000008 | 该节不得填塞至下一边界线。这个标志过时了，被IMAGE_SCN_ALIGN_1BYTES取代 |
| 无 | 0x00000010 | 保留 |
| IMAGE_SCN_CNT_CODE | 0x00000020 | 该节包含可执行代码 |
| IMAGE_SCN_CNT_INITIALIZED_DATA | 0x00000040 | 该节包含初始化的数据 |
| IMAGE_SCN_CNT_UNINITIALIZED_DATA | 0x00000080 | 该节包含未初始化的数据 |
| IMAGE_SCN_LNK_OTHER | 0x00000100 | 保留 |
| IMAGE_SCN_LNK_INFO | 0x00000200 | 该节包含解释或其他信息。这只对object files有效 |
| 无 | 0x00000400 | 保留 |
| IMAGE_SCN_LNK_REMOVE | 0x00000800 | 该节将不会成为image的一部分。这只对object files有效。 |
| IMAGE_SCN_LNK_COMDAT | 0x00001000 | 该节包含COMDAT数据。这只对object files有效。 |
| 无 | 0x00002000 | 保留 |
| IMAGE_SCN_NO_DEFER_SPEC_EXC | 0x00004000 | 该节包含重置TLB项中的speculative异常处理位 |
| IMAGE_SCN_GPREL | 0x00008000 | 该节包含通过全局指针引用的数据 |
| 无 | 0x00010000 | 保留 |
| IMAGE_SCN_MEM_PURGEABLE | 0x00020000 | 保留 |
| IMAGE_SCN_MEM_LOCKED | 0x00040000 | 保留 |
| IMAGE_SCN_MEM_PRELOAD | 0x00080000 | 保留 |
| IMAGE_SCN_ALIGN_1BYTES | 0x00100000 | 在1字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_2BYTES | 0x00200000 | 在2字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_4BYTES | 0x00300000 | 在4字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_8BYTES | 0x00400000 | 在8字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_16BYTES | 0x00500000 | 在16字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_32BYTES | 0x00600000 | 在32字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_64BYTES | 0x00700000 | 在64字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_128BYTES | 0x00800000 | 在128字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_256BYTES | 0x00900000 | 在256字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_512BYTES | 0x00A00000 | 在512字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_1024BYTES | 0x00B00000 | 在1024字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_2048BYTES | 0x00C00000 | 在2048字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_4096BYTES | 0x00D00000 | 在4096字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_ALIGN_8192BYTES | 0x00E00000 | 在8192字节的边界上对齐数据。这只对object files有效 |
| IMAGE_SCN_LNK_NRELOC_OVFL | 0x01000000 | 该节包含扩展的重新定位。该节的重定位计数超过了节头中为其保留的16位。如果节头中的NumberOfRelocations字段为0xffff，则实际的重定位计数存储在第一次重定位的VirtualAddress字段中。如果设置了IMAGE_SCN_LNK_NRELOC_OVFL，并且该section中的重定位值小于0xffff，则会产生错误 |
| IMAGE_SCN_MEM_DISCARDABLE | 0x02000000 | 该节可以根据需要丢弃 |
| IMAGE_SCN_MEM_NOT_CACHED | 0x04000000 | 不能缓存该节 |
| IMAGE_SCN_MEM_NOT_PAGED | 0x08000000 | 该节不能分页 |
| IMAGE_SCN_MEM_SHARED | 0x10000000 | 该节可以在内存中共享 |
| IMAGE_SCN_MEM_EXECUTE | 0x20000000 | 该节可以作为代码执行 |
| IMAGE_SCN_MEM_READ | 0x40000000 | 该节可以读 |
| IMAGE_SCN_MEM_WRITE | 0x80000000 | 该节可以写 |
------
#### 通俗版
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401202645060.png)
------
## 实战分析
从先前分析的扩展PE头的结尾开始看起，选中部分为节表
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401204202037.png)
------
因为有多个节，这里取第一个节进行分析，按顺序依次将数据填入对应的成员得到：
| 成员 | 值 | 说明 |
| :------------------- | :---------------------- | ---------------------------------- |
| **Name** | 2E 74 65 78 74 00 00 00 | 对应ASCII为 .text，即节名 |
| Misc | 0x001990A9 | |
| **VirtualAddress** | 0x00001000 | RVA=0x1000 |
| **SizeOfRawData** | 0x00199200 | 节在文件中对齐后的尺寸为0x00199200 |
| **PointerToRawData** | 0x00000400 | FOA=0x400 |
| PointerToRelocations | 0x00000000 | |
| PointerToLinenumbers | 0x00000000 | |
| NumberOfRelocations| 0x0000 | |
| NumberOfLinenumbers| 0x0000 | |
| **Characteristics**| 0x60000020 | 详见下方 |
------
### Name
该节的节名为 .text
------
### VirtualAddress
节的RVA为0x1000
通过RVA可以得到VA=RVA+ImageBase（在内存中虚拟的地址 = 虚拟地址 + 镜像基地址）
ImageBase在前面的扩展PE头中已经得知是0x400000，不清楚的可以回顾(https://www.52pojie.cn/thread-1405930-1-1.html#37759493_%E8%8E%B7%E5%8F%96%E6%95%B0%E6%8D%AE)，这里不再赘述
所以得到VA=0x1000+0x400000=0x401000
为了验证这一点，将程序启动，使其加载到内存后再用Winhex查看其状态（具体流程在(https://www.52pojie.cn/thread-1393291-1-1.html#37444347_%E8%BF%90%E8%A1%8C%E6%80%81)中已经说明）
得到：
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401210954485.png)
------
可以清楚地看到，第一个节的位置对应VA，验证完毕
------
### Misc和SizeOfRawData
Misc：该节在没有对齐前的真实尺寸为0x001990A9
结合前面得到的VA，可以算出，该节在内存中的末尾位置为:VA+Misc=0x401000+0x001990A9=0x59A0A9
于是要转到相应的位置进行查看：
在WinHex的底部找到偏移量：XXXX，单击
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401211633311.png)
------
在弹出的窗口中修改要跳转的VA（虚拟地址）
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401213744534.png)
------
跳转后得到：
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401213810759.png)
可以看到，已经跳转到了第一个节的末尾
------
SizeOfRawData：该节在文件中对齐后的尺寸为0x00199200
结合前面得到的VA，可以算出，该节在内存中的末尾位置为:VA+SizeOfRawData=0x401000+0x00199200=0x59A200
于是要转到相应的位置进行查看：
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401213943737.png)
------
发现附近都是00，因为该地址为节在内存中的首地址+**文件对齐**后的地址，**在内存中（运行态）无效**
并且此时会发现SizeOfRawData=0x00199200=(Misc ÷ FileAlignment)**向上取整**×FileAlignment
即SizeOfRawData=0x00199200=(0x001990A9整除0x200+1)×0x200=（0xCC8+1）×0x200 = 0xCC9 × 0x200 = 0x00199200
满足SizeOfRawData的定义
其实SizeOfRawData在(https://www.52pojie.cn/thread-1393291-1-1.html#37444347_%E8%BF%90%E8%A1%8C%E6%80%81)中也已经说明了，这里主要是强调SizeOfRawData在运行态时无效，且验证了SizeOfRawData在运行态时的来源，有关文件对齐和内存对齐等的知识可以前往回顾
------
在内存中(运行态时)，实际上 该节在内存中的末尾位置应该为：VA+**内存对齐**后的大小
但是在节的属性中并没有表示内存对齐后大小的成员，内存对齐后的大小是如何得来的？
#### 内存对齐后的大小
决定内存对齐后的大小的因素有2个：
- 内存对齐：即SectionAlignment
- Max{Misc,SizeOfRawData}：Misc和SizeOfRawData的最大值
内存对齐后的大小 = (Max{Misc,SizeOfRawData} ÷ SectionAlignment) **向上取整 **× SectionAlignment
------
取SizeOfRawData很容易理解，但为什么还和Misc有关？
Misc表示的是实际大小难道不是一定小于文件对齐后的大小吗？
**并不是**，实际大小也可能要比文件对其后的大小要大，就拿全局变量为例
全局变量可以分为两种：有初始值的和没有初始值的
有初始值的全局变量在文件中就已经为其分配了空间，而没有初始值的全局变量只有到程序加载到内存中(运行态)后才会为其分配空间
假设当前存储的全局变量都是**没有有初始值**的，即在文件中没有为其分配空间，也就是在文件中大小为0，这也就导致SizeOfRawData为0，因此，此时的Misc > SizeOfRawData
所以**内存对齐后的大小要综合Misc和SizeOfRawData决定**
------
于是按照上面的公式计算：
内存对齐后的大小 = (Max{0x001990A9,0x00199200} ÷ 0x1000) **向上取整 **× 0x1000 = (0x199200 ÷ 0x1000)向上取整 × 0x1000 = 0x19A000
该节在内存中的末尾位置应该为：VA+**内存对齐**后的大小 = 0x401000+0x19A000=0x59B000
再转到相应位置去查看：
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210404131954044.png)
------
发现已经到达下一个节，和下一个节的起始位置根据VirtualAddress + ImageBase = 0x400000+0x0019b000=0x59B000相匹配
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210404131821611.png)
------
### PointerToRawData
节区在文件中的偏移为0x400，这里引入了一个概念：FOA，即文件偏移地址
所以PointerToRawData=FOA=文件偏移地址，同样在运行态无效，在(https://www.52pojie.cn/thread-1393291-1-1.html#37444347_%E8%BF%90%E8%A1%8C%E6%80%81)也可以回顾
------
### Characteristics
此时Characteristics=0x60000020=0x40000000+0x20000000+0x00000020
对照前面的表格：
| 宏定义 | 值 | 含义 |
| --------------------- | ---------- | -------------------- |
| IMAGE_SCN_CNT_CODE | 0x00000020 | 该节包含可执行代码 |
| IMAGE_SCN_MEM_EXECUTE | 0x20000000 | 该节可以作为代码执行 |
| IMAGE_SCN_MEM_READ | 0x40000000 | 该节可以读 |
所以得到了该节的属性为：包含可执行代码、可以作为代码执行、可以读
------
## 自写代码解析节表
在先前代码的基础上，进一步改进
```c
// PE.cpp : Defines the entry point for the console application.
//
#include <stdio.h>
#include <malloc.h>
#include <windows.h>
#include <winnt.h>
//在VC6这个比较旧的环境里，没有定义64位的这个宏，需要自己定义，在VS2019中无需自己定义
#define IMAGE_FILE_MACHINE_AMD640x8664
int main(int argc, char* argv[])
{
//创建DOS对应的结构体指针
_IMAGE_DOS_HEADER* dos;
//读取文件，返回文件句柄
HANDLE hFile = CreateFileA("C:\\Users\\lyl610abc\\Desktop\\dbgview64.exe", GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, 0, 0);
//根据文件句柄创建映射
HANDLE hMap = CreateFileMappingA(hFile, NULL, PAGE_READONLY, 0, 0, 0);
//映射内容
LPVOID pFile = MapViewOfFile(hMap, FILE_MAP_READ, 0, 0, 0);
//类型转换，用结构体的方式来读取
dos = (_IMAGE_DOS_HEADER*)pFile;
//输出dos->e_magic，以十六进制输出
printf("dos->e_magic:%X\n", dos->e_magic);
//创建指向PE文件头标志的指针
DWORD* peId;
//让PE文件头标志指针指向其对应的地址=DOS首地址+偏移
peId = (DWORD*)((UINT)dos + dos->e_lfanew);
//输出PE文件头标志，其值应为4550，否则不是PE文件
printf("peId:%X\n", *peId);
//创建指向可选PE头的第一个成员magic的指针
WORD* magic;
//让magic指针指向其对应的地址=PE文件头标志地址+PE文件头标志大小+标准PE头大小
magic = (WORD*)((UINT)peId + sizeof(DWORD) + sizeof(_IMAGE_FILE_HEADER));
//输出magic，其值为0x10b代表32位程序，其值为0x20b代表64位程序
printf("magic:%X\n", *magic);
//根据magic判断为32位程序还是64位程序
switch (*magic) {
case IMAGE_NT_OPTIONAL_HDR32_MAGIC:
{
printf("32位程序\n");
//确定为32位程序后，就可以使用_IMAGE_NT_HEADERS来接收数据了
//创建指向PE文件头的指针
_IMAGE_NT_HEADERS* nt;
//让PE文件头指针指向其对应的地址
nt = (_IMAGE_NT_HEADERS*)peId;
printf("Machine:%X\n", nt->FileHeader.Machine);
printf("Magic:%X\n", nt->OptionalHeader.Magic);
//创建一个指针数组，该指针数组用来存储所有的节表指针
//这里相当于_IMAGE_SECTION_HEADER* sectionArr,声明了一个动态数组
_IMAGE_SECTION_HEADER** sectionArr = (_IMAGE_SECTION_HEADER**) malloc(sizeof(_IMAGE_SECTION_HEADER*) * nt->FileHeader.NumberOfSections);
//创建指向块表的指针
_IMAGE_SECTION_HEADER* sectionHeader;
//让块表的指针指向其对应的地址
sectionHeader = (_IMAGE_SECTION_HEADER*)((UINT)nt + sizeof(_IMAGE_NT_HEADERS));
//计数，用来计算块表地址
int cnt = 0;
//比较 计数 和 块表的个数，即遍历所有块表
while(cnt< nt->FileHeader.NumberOfSections){
//创建指向块表的指针
_IMAGE_SECTION_HEADER* section;
//让块表的指针指向其对应的地址=第一个块表地址+计数*块表的大小
section = (_IMAGE_SECTION_HEADER*)((UINT)sectionHeader + sizeof(_IMAGE_SECTION_HEADER)*cnt);
//将得到的块表指针存入数组
sectionArr = section;
//输出块表名称
printf("%s\n", section->Name);
}
break;
}
case IMAGE_NT_OPTIONAL_HDR64_MAGIC:
{
printf("64位程序\n");
//确定为64位程序后，就可以使用_IMAGE_NT_HEADERS64来接收数据了
//创建指向PE文件头的指针
_IMAGE_NT_HEADERS64* nt;
nt = (_IMAGE_NT_HEADERS64*)peId;
printf("Machine:%X\n", nt->FileHeader.Machine);
printf("Magic:%X\n", nt->OptionalHeader.Magic);
//创建一个指针数组，该指针数组用来存储所有的节表指针
//这里相当于_IMAGE_SECTION_HEADER* sectionArr,声明了一个动态数组
_IMAGE_SECTION_HEADER** sectionArr = (_IMAGE_SECTION_HEADER**)malloc(sizeof(_IMAGE_SECTION_HEADER*) * nt->FileHeader.NumberOfSections);
//创建指向块表的指针
_IMAGE_SECTION_HEADER* sectionHeader;
//让块表的指针指向其对应的地址，区别在于这里加上的偏移为_IMAGE_NT_HEADERS64
sectionHeader = (_IMAGE_SECTION_HEADER*)((UINT)nt + sizeof(_IMAGE_NT_HEADERS64));
//计数，用来计算块表地址
int cnt = 0;
//比较 计数 和 块表的个数，即遍历所有块表
while (cnt < nt->FileHeader.NumberOfSections) {
//创建指向块表的指针
_IMAGE_SECTION_HEADER* section;
//让块表的指针指向其对应的地址=第一个块表地址+计数*块表的大小
section = (_IMAGE_SECTION_HEADER*)((UINT)sectionHeader + sizeof(_IMAGE_SECTION_HEADER) * cnt);
//将得到的块表指针存入数组
sectionArr = section;
//输出块表名称
printf("%s\n", section->Name);
}
break;
}
default:
{
printf("error!\n");
break;
}
}
return 0;
}
```
------
### 运行结果
#### 32位运行结果
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401230600646.png)
------
#### 64位运行结果
!(https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/image-20210401230508810.png)
------
### 代码说明
代码基于上一次的笔记(https://www.52pojie.cn/thread-1405930-1-1.html)增加了对块表的解析
此次代码中用到了动态声明数组，只不过声明的数组为指针数组
关于指针数组可以回顾[逆向基础笔记二十三 汇编 指针（四）](https://www.52pojie.cn/thread-1388861-1-1.html)
这里补充一下动态数组的声明：
```c
#include <stdio.h>
#include <malloc.h>
int main() {
//普通的数组声明
int arr;
//动态的数组声明
int num = 5;
int* arr2 =(int*) malloc(sizeof(int) * 5);
return 0;
}
```
------
**普通的数组声明转动态的数组声明**
```c
#include <stdio.h>
#include <malloc.h>
int main() {
//普通的数组声明
类型 arr;
//动态的数组声明
int num = 5;
类型* arr2 =(类型*) malloc(sizeof(类型) * 5);
return 0;
}
```
------
对于前面的代码无非就是类型为_IMAGE_SECTION_HEADER*的情况
代入可得
```c
#include <stdio.h>
#include <malloc.h>
int main() {
//普通的数组声明
_IMAGE_SECTION_HEADER* arr;
//动态的数组声明
int num = 5;
_IMAGE_SECTION_HEADER** arr2 =(_IMAGE_SECTION_HEADER**) malloc(sizeof(_IMAGE_SECTION_HEADER*) * 5);
return 0;
}
```
------
# 说明
大致将PE文件的各个结构都说明了一遍，数据目录项之后也会补充，掌握了结构后，就要开始操作这些结构了
在节表中比较重要的成员就是和内存对齐或文件对齐有关的那几个成员，这次的笔记也稍微提到了FOA、RVA、VA的概念，为后续作个铺垫
PE文件的学习可能有些枯燥，但只有在了解了其结构以后才能更好地搞事情~(￣▽￣)~*
现在看似只是做个类似弱化的PEID，只能读取PE文件的相关数据貌似没有什么意思
后续有了PE的知识，就可以结合知识，来修改程序使其呈现我们想要的内容以及自己写个保护壳等等，尽请期待
# 附件
附上本笔记中分析的EverEdit文件：[点我下载](https://610-pic-bed.oss-cn-shenzhen.aliyuncs.com/EverEdit.zip?versionId=CAEQHhiBgID6g6vXxBciIDMxMjY5Y2Q0NGE5NTRkNmNiNTUwOGM0YjdmZTQxMTI3) 很好的帖子 qianshang666 发表于 2021-4-2 00:29
这几天学院有比赛，要不然我也天天更新
羡慕能参加比赛的大佬，像我这种萌新啥都参加不了{:301_972:} 这几天学院有比赛，要不然我也天天更新{:301_998:} 感谢分享 高手又更新了.谢谢分享 zczczczczczczczc 大佬又来收割粉丝拉{:301_999:} {:1_921:}厉害厉害 好文章 慢慢学习
页:
[1]
2