标签：描述 dir http 程序 函数名 开始 通过 directory 地址
内容引用自：看雪《逆向工程原理》，http://www.blogfshare.com/pe-header-one.html 。如有错误，欢迎留言。
1、 区块表（节表）
区块表紧跟在PE头后面，所有区块的属性都被定义在区块表中。区块表中的数据仅仅是因为属性相同被放到一起，对程序的各种方法、数据的追溯还是要用到DataDirectory。
区块表是由一组IMAGE_SETION_HEADER结构组成，每个结构描述一个区块，各结构的排列顺序与其所描述的区块在文件中的排列顺序是一致的。
区块表最后以一个空的IMAGE_SETION_HEADER结构作为结尾。IMAGE_SETION_HEADER （长度为28h）定义如下：
#define IMAGE_SIZEOF_SHORT_NAME 8
typedef strutct _IMAGE_SETION_HEADER {
BYTE Name[IMAGE_SIZEOF_SHORT_NAME]; //注意 此处是 8 个字节
union {
DWORD PhysicalAddress;
DWORD VirtualSize; // 区块的大小
}
DWORD VirtualAddress; // 节区的 RVA 地址
DWORD SizeOfRawData; // 在文件中对齐后的尺寸
DWORD PointerToRawData; // 在文件中的偏移量
DWORD PointerToRelocations; // 在OBJ文件中使用，重定位的偏移，无用
DWORD PointerToLinenumbers; // 行号表的偏移（供调试使用地），无用
WORD NumberOfRelocations; // 在OBJ文件中使用，重定位项数目，无用
WORD NumberOfLinenumbers; // 行号表中行号的数目，无用
DWORD Characteristics; // 节属性如可读，可写，可执行等
} IMAGE_SETION_HEADER
需要注意的点：
Name：区块名 实际上没有任何意义，只要不重复可以任意命名，设置为特定的名字仅仅是正规编程方便查看。
VirtualSize：对应区块的实际大小，未进行对齐处理前的大小
VirtualAddress：对应区块装入内存中的RVA地址
SizeOfRawData：对应区块在磁盘中的大小，在可执行文件中，该值是已经被FileAligment处理过的长度。
PointerToRawData：对应区块在磁盘中的偏移，从文件头开始算起
Characteristics：按位指出对应区块的属性 （bit OR），常见值如下：
此处涉及到RVA to RAW，即 相对虚拟地址 到 文件物理偏移地址的转换。比如在DataDirectory中存放的为RVA地址，就需要转换为物理偏移。
其转换方法为：RVA - VisualAddress + PointerToRawData
2、 导入表
导入表是要提供程序执行时需要调用的导入函数的所属DLL、函数名、内存地址等。该表在区块中，由DataDirectory第二个数组项指向。
导入表是由一组IMAGE_IMPORT_DESCRIPTOR结构组成，结构的数量取决于程序要使用的DLL文件的数量，每一个结构对应一个DLL文件，以一个内容全为 0 的IMAGE_IMPORT_DESCRIPTOR作为结束。
IMAGE_IMPORT_DESCRIPTOR定义：
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics;
DWORD OriginalFirstThunk; #一般定义该值，指向 INT （Import Name Table） RVA
}；
DWORD TimeDateStamp;
DWORD ForwarderChain;
DWORD Name; #指向 DLL 名称 的地址 RVA
DWORD FirstThunk; #指向 IAT （Import Address Table） RVA
} IMAGE_IMPORT_DESCRIPTOR;
需要注意的点：
Name ： 不会直接给出DLL的名字 此处是一个RVA 地址。 该地址指向了 DLL 名称。
OriginalFirstThunk 和 FirstThunk ： 有些是相同的 有些是不同的。 虽然一个指向 INT 一个指向 IAT ，但实际这两个表均是由一系列 IMAGE_THUNK_DATA结构组成的数组。数组最后以一个全为0 的结构作为结束。
IMAGE_THUNK_DATA 定义如下：
typedef _IMAGE_THUNK_DATA {
union {
DWORD ForwarderString; #RVA 指向forwarder string
DWORD Function; #被导入函数的入口地址
DWORD Ordinal; #该函数的序数
DWORD AddressOfData; #指向 IMAGE_IMPORT_BY_NAME 结构体
};
} IMAGE_THUNK_DATA32
对于可执行文件，IMAGE_THUNK_DATA 中存储的要么是 Ordinal（最高位为1，其余31位为序号） 要么是AddressOfData。在DLL中对每个函数都进行了编号，访问函数即可以通过名称访问，也可以通过编号访问（还不懂怎么根据Ordinal找到函数~~，求大神指导）。
当IMAGE_THUNK_DATA存放的为 AddressOfData 时，该地址指向一个 IMAGE_IMPORT_BY_NAME 结构体
IMAGE_IMPORT_BY_NAME 定义如下：
typedef struct _IMAGE_IMPORT_BY_NAME {
WORD Hint; #Ordinal 函数的序号
BYTE Name[1]; #此处为函数名字，实际为变长数组，以00结尾，即字符串结束符
} IMAGE_IMPORT_BY_NAME
常见寻找导入函数的方法：
根据 DataDirectory 中RVA 找到 导入表的文件偏移地址， 根据 OriginalFirstThunk 找到 INT (Import Name Table)， 根据 AddressOfData 找到 IMAGE_IMPORT_BY_NAME 即可找到函数名。
标签：描述 dir http 程序 函数名 开始 通过 directory 地址
原文地址：http://www.cnblogs.com/lwhat/p/7775184.html
