PE文件格式---节和节表

17.1.4  节表和节

从排列位置来看，PE文件在DOS部分和PE文件头部分以后就是节表和多个不同的节（如图17.1中的③和④所示）。要理解什么是节表，什么是节以及它们之间的关系，那就首先要了解Windows是如何将PE文件映射到内存的。

1. PE文件到内存的映射

在执行一个PE文件的时候，Windows并不在一开始就将整个文件读入内存，而是采用与内存 映射文件类似的机制，也就是说，Windows装载器在装载的时候仅仅建立好虚拟地址和PE文件之间的映射关系，只有真正执行到某个内存页中的指令或者访 问某一页中的数据时，这个页面才会被从磁盘提交到物理内存，这种机制使文件装入的速度和文件大小没有太大的关系。

图17.2  PE文件到内存的映射

但是系统装载可执行文件的方法又不完全等同于内存映射文件。当使用内存映射文件时，系统对“原 著”非常忠实，如果将磁盘文件和内存映像对比一下，可以发现不管是数据本身还是数据之间的相对位置都是完全相同的。而装载可执行文件的时候，有些数据在装 入前会被预先处理（如需要重定位的代码），而装入以后，数据之间的相对位置也可能改变，如图17.2所示，一个节的偏移和大小在装入内存前后可能是完全不 同的。

Windows装载器在装载DOS部分、PE文件头部分和节表部分时不进行任何处理，而装载节的时候将根据节的属性做不同的处理，一般需要处理以下几个方面的内容。

●   内存页的属性

对于磁盘映射文件来说，所有的页都是按照磁盘映射文件函数指定的属性设置的，但是装载可执行文件时，与节对应的内存页的属性要按照节的属性来设置。所以在同属一个模块的内存页中，从不同节映射过来的内存页的属性是不同的。

●   节的偏移地址

节的起始地址在磁盘文件中是按照IMAGE_OPTIONAL_HEADER32结构的 FileAlignment字段的值对齐的，而被装载到内存中时是按照同一结构中的SectionAlignment字段的值对齐的，两者的值可能不同， 所以一个节被装入内存后相对于文件头的偏移和在磁盘文件中的偏移可能是不同的。

节是相同属性数据的组合，当节被装入到内存中的时候，同一个节对应的内存页将被赋予相同的页属 性，Windows系统对内存属性的设置是以页为单位来进行的，所以节在内存中的对齐单位必须至少是一个页的大小，对于Win32来说，这个值是4 Kb（1000h），而对于Win64来说，这个值是8 Kb（2000h）。

节在磁盘文件中的对齐单位就没有最小4 Kb的限制࿰