分析PE格式文件中的图标信息

 

PE格式的资源段是比较复杂的，目前几种介绍PE格式的书籍在介绍到这部分时都是不够深入（本人认为写得比较好的有《Windows95系统程式设计奥秘》候捷译本），因此不

得不拿起工具自已研究，分析PE格式比较好的工具有：stud_PE，UltraEdit等。以下记录我在研究图标资源时的过程，请结合PE格式分析教材阅读

 

步骤：

1、得到资源段的偏移地址；

用Stud_PE打开PE格式文件，“sections”页中有个名称为“.rsrc”的行（如果程序有资源的话）。 查看该行的“VirtualOffset”字段，其值即是资源段的偏移，也是文件中的偏移；

 

2、用一款十六进制编辑软件（可使用UltraEdit）打开PE格式文件，定位到资源段；

 

3、资源段首先是个IMAGE_RESOURCE_DIRECTORY结构数据，该结构的NumberOf-

NamedEntries表示“使用名称的资源”的个数，NumberOfIdEntries表示“使用整数ID的资源”；

 

4、然后是数个IMAGE_RESOURCE_DIRECTORY_ENTRY结构，个数是NumberOfNam-

       edEntries和NumberOfIdEntries的和；IMAGE_RESOURCE_DIRECTORY_ENT

RY结构只有8字节，虽然结构看起来很大。前4个字节表示资源类型，后4个字节表示位置。资源类型的值如果是3（RT_ICON）表示图标，其它值参考文档，例如，2（RT_BITMAP）表示位图，1（RT_CURSOR）表示光标；后4个字节表示资源的位置，如果高位被置位，余下的31位就是指向资源目录的偏移，这个偏移相对于资源区块开始的位置而不是RVA；

 

5、找到图标资源的偏移，这里又是一个IMAGE_RESOURCE_DIRECTORY结构，结构的

       NumberOfIdEntries表示图标的个数；此后又是数个IMAGE_RESOURCE_DIRECTO

RY_ENTRY（与图标个数相同），前4个字节应该是图标的ID，后期个字节是图标

的位置；

 

6、由上步的偏移再次找到一个IMAGE_RESOURCE_DIRECTORY结构，感觉没什么有用

       信息；之后又是一个IMAGE_RESOURCE_DIRECTORY_ENTRY结构（好烦），此时，

       通过后4个字节（与资源区首的偏移值）可以找到另一个IMAGE_RESOURCE_DATA_

ENTRY结构，该结构的有用信息是： offsetToData表示图标数据的位置（是RVA，此时不是偏移了），size 图标数据块的大小。

 

7、最后注意，这里的图标信息比普通的图标文件的信息好，粗略一看，至少少了文件头和

       图标头两部分数据，直接从图片数据开始，即BITMAPINFOHEADER（没写错哦）。

 

 

上面过程当RAV=RAW（在可执行文件中的偏移）情况，但多数情况下这两个值均不相等。

如何得到RAV和RAW和偏移呢（offset）：

在IMAGE_OPTION_HEADER 结构之后就是数个IMAGE_SECTION_HEADER（区表），每个区表关联一种资源的信息，个数由IMAGE_NT_HEADERS.FileHeader.NumberOfSe-

ctions指定，在区表结构有一个字段是PointerToRawData， 即表示块在磁盘文件中的偏移。

记住这个RAW，并算出其与RAV的offset 。在后面给出的许多地址均是RAV，通过这个

offset就可计算出其对应的RAW。

 

下面的代码给出查找EXE文件中第一个图标数据所在磁盘文件的编移和大小（代码比较凌乱）：

 

CFileDialog dlg ( TRUE ) ;

if( dlg.DoModal() != IDOK )

         return ;

 

HANDLE hFile = CreateFile( dlg.GetPathName() , GENERIC_READ | GENERIC_WRITE,

                                              FILE_SHARE_READ | FILE_SHARE_WRITE , NULL , OPEN_EXISTING ,

                                              FILE_ATTRIBUTE_NORMAL , NULL ) ;

if( hFile == INVALID_HANDLE_VALUE )

         return ;

 

HANDLE hMap = ::CreateFileMapping( hFile , NULL ,

PAGE_READWRITE , 0 , ::GetFileSize(hFile,NULL)+1 , NULL ) ;

        

if( hMap )

{

         LPVOID buffer = ::MapViewOfFile( hMap , FILE_MAP_WRITE | FILE_MAP_READ , 0 , 0 , 0 ) ;

         if( buffer )

         {

                                              

                  IMAGE_DOS_HEADER *pDosHeader = (IMAGE_DOS_HEADER *)buffer ;

                  IMAGE_NT_HEADERS *pNtHeader = (IMAGE_NT_HEADERS *)((DWORD)buffer

+ pDosHeader->e_lfanew ) ;

                           

 

                  DWORD dwNumberOfSections = pNtHeader->FileHeader.NumberOfSections ;

                  IMAGE_SECTION_HEADER *pSectionHeader = (IMAGE_SECTION_HEADER *)

((DWORD)pNtHeader + sizeof(IMAGE_NT_HEADERS) ) ;

 

                  for( DWORD i = 0 ; i < dwNumberOfSections ; i ++ )

                   {

                            if( lstrcmp( (char *)pSectionHeader->Name , ".rsrc" ) == 0 )

                                     break ;

                            pSectionHeader ++ ;

                   }

 

                   if( i < dwNumberOfSections )

                   {

                            DWORD dwOffsetRavToRaw = pNtHeader->OptionalHeader.DataDirectory[2].

VirtualAddress –>pSectionHeader->PointerToRawData ;

                                                                                                               

                            IMAGE_RESOURCE_DIRECTORY *pResourceDirect =

(IMAGE_RESOURCE_DIRECTORY *)

                                        ((DWORD)buffer + pSectionHeader->PointerToRawData ) ;

 

                            TRACE("res section rav:%x/n " , pNtHeader->OptionalHeader.

DataDirectory[2].VirtualAddress ) ;

                            TRACE("res raw: %x/n" , pSectionHeader->PointerToRawData ) ;

 

                                    

                            IMAGE_RESOURCE_DIRECTORY_ENTRY *pEntry =

(IMAGE_RESOURCE_DIRECTORY_ENTRY *)

                                              ( (DWORD)pResourceDirect + sizeof(IMAGE_RESOURCE_DIRECTORY) ) ;

                                    

                            int nRes = pResourceDirect->NumberOfIdEntries +

pResourceDirect->NumberOfNamedEntries ;

                                    

                            for( int i = 0 ; i < nRes ; i ++ )

                            {

                                     if( pEntry->Id == 3 )

                                     {

                                              TRACE("icon entry is %x/n" , pEntry->OffsetToData ) ;

                                               break;

                                     }

                                     pEntry ++ ;

                            }

                                    

                                    

                                    

                                    

                            int offset = pEntry->OffsetToData ;

                            if( offset & 0x80000000 )

                                     offset &= 0x7FFFFFFF ;

                            TRACE("%x/n" , offset ) ;

                                    

                            IMAGE_RESOURCE_DIRECTORY *pIconDirect =

(IMAGE_RESOURCE_DIRECTORY *)((DWORD)pResourceDirect + offset ) ;

                                    

                            IMAGE_RESOURCE_DIRECTORY_ENTRY *pIconEntry =

(IMAGE_RESOURCE_DIRECTORY_ENTRY *)((DWORD)pIconDirect + 16);

                                    

                            offset = pIconEntry->OffsetToData ;

                            if( offset & 0x80000000 )

                                     offset &= 0x7FFFFFFF ;

                            TRACE("%x/n" , offset ) ;

                                    

                                    

                            pIconEntry = (IMAGE_RESOURCE_DIRECTORY_ENTRY *)

((DWORD)pResourceDirect + offset +16 ) ;

                            offset = pIconEntry->OffsetToData ;

                            if( offset & 0x80000000 )

                                     offset &= 0x7FFFFFFF ;

                            TRACE("%x/n" , offset ) ; // offset = 0x168

                                    

pIconEntry=(IMAGE_RESOURCE_DIRECTORY_ENTRY *)((DWORD)

pResourceDirect + offset ) ;

                                    

                            int icon_offset = pIconEntry->Name ;

                            int icon_size = pIconEntry->OffsetToData ;

                                    

                                                                

                            CString str ;

                                    

                            str.Format(" ICON 's RVA = %X , RAW = %X , size = %X /n" ,

                                              icon_offset , icon_offset - dwOffsetRavToRaw,

                                              icon_size ) ;

                            AfxMessageBox( str ) ;

                                    

                   }

                  ::UnmapViewOfFile( buffer ) ;

         }

 

         ::CloseHandle( hMap ) ;

       ::CloseHandle( hFile ) ;