PE-资源表

资源表

PE中的相关资源可以通过程序进行深度定位,所获取的二进制字节码与资源脚本语句之间是一一对应的

这些数据可能是源代码内部需要用到的常景,比如 菜单选项、界面描述等;也可能是源代码外部的,比如程序的图标文件、背景音乐文件、配置 文件等,以上这些数据统称为资源。

5.1 资源分类

资源数据在PE里是最复杂的一种。其难度主要体现在对资源数据的遍历定位上,以及资源块的不易阅读性。因为即使通过信息定位方法找到了资源块,其内部结构还需要进一步解析。

程序中常用的六类资源包括:
1.位图资源
2.光标资源
3.图标资源
4.菜单资源
5.对话框资源
6.自定义资源

5.1.1 位图、光标、图标资源

位图、光标和图标是标识程序用途、修饰程序的最简约的符号,一般对应ico、cur、ani 和bmp文件内容。

在对资源脚本文件进行定义时,通常使用文件名,最后由资源编译器rc.exe将像素数据读人,再转换为二进制格式存储在PE的资源表指向的位置。位图、光;标、图标这三类资源在脚本文件中的定义格式如下:
1.位图定义:namelD BITMAP [DISCARDABLE]位图文件名
2.光标定义:namelD CURSOR [DISCARDABLE]光标文件名
3.图标定义:namelD ICON [DISCARDABLE]图标文件名

1.namelD表示该资源的名字,在程序中使用资源时需要用到它,类似于文件的句柄。
2.BITMAP. CURSOR. ICON表示资源的类型。
3.DISCARDABLE关键字是可选项,表示在不用的时候可以从内存中暂时卸载掉。
注意 当文件名包含空格时,需要使用英文半角状态下的双引号引起来。

对应的外部文件可以使用绝对路径。

5.1.2 菜单资源

菜单是大部分应用程序都具备的资源。在资源脚本文件中,菜单的定义格式如下所示:

菜单 ID MENU [DISCARDABLE] 
    BEGIN
    菜单项定义
    .......
END

其中,菜单ID可以是16位的整数,其赋值范围在1〜65535之间。菜单项的定义可以有三种,分别表示:
1.普通菜单项
2.菜单分隔符
3.弹出菜单
其语法结构分别如下所示:

MENUITEM 菜单文字,命令ID [,选项列表]

 MENUITEM SEPARATOR
POPUP 菜单文字[,选项列表] 
EGIN
       菜单项定义

.......
END

5.1.3 对话框资源

对话框也是大部分程序具备的一种资源。弹出式对话框人性化地排列若文本框、说明文 字和按钮等可视化控件,使复杂的计算机操作变得容易。
在资源脚本的定义中,对话框最为复杂,其语法如下:

对话枢 ID DIALOG [DISCARDABLE] x 坐标,y 坐标,宽度,高度[options]
 BEGIN
子窗口控件1 
子窗口控件2
.......
END

5.1.4 自定义资源

通常,当开发者需要在PE文件中附带自定义数据时,可以使用自定义资源。其在资源 文件中的定义语法如下:

资源 ID	类型 ID (DISCARDABLE]
BEGIN
       数据定义
       .......
END

大部分情况下,都是将一个磁盘文件当做资源的内容。此时的语法简化为:

资源ID 类型ID [DISCARDABLE]文件名 

类型ID可以是大于255的数值或字符串

5.2 PE资源表组织

5.2.1 资源表的组织方式

PE的资源组织方式类似于操作系统的文件管理方式。从根目录开始,下设一级子目滾、二级子目录和三级子目录:三级子冃录下才是文件。

一级子目录按照资源类型分类,如“光标” 一级子目录、“位图” 一级子目录、“菜单” 一级子目录、“字符串” 一级子目录、“加速键” 一级子目录等多个资源类型。
二级子目录按照资源的ID分类。例如,同样是“菜单” 一级子目录的内容,其下可以有: IDM_OPEN的ID号为2001、IDM_EXIT的ID号为2002、IDM_1的ID号为4000等多个菜单项。 三级子目录是按照资源的代码页分类,即不同的语言代码页对应不同的数据。其中,根 据语言可以分为简体中文、英文、繁体中文等多个代码页。
三级目录后即为节点,也就是所说的“文件”。这里的“文件”其实就是包含了资源数据 的指针和大小等信息的一个数据结构而已。对所有资源数据块的访问均可从这里开始。

从数据结构角度来看,资源表是一个四层的二叉排序树结构。其中,第一层为主干,第 二、三层为枝干,叶子节点为第四层。主干和枝干的节点即为资源目录结构单元

PE-资源表

PE-资源表

5.2.2 资源表数据定位

资源表是一张描述资源数据在PE中的分布情况的表。资源表是数据目录中注册的数据类型之一,其描述信息位于数据目录的第3个目录项中。

资源表数据所在地址RVA
源表数据大小

5.2.3 资源目录头 IMAGE_RESOURCE_DIRECTORY

资源表数据从第一级资源目录开始。资源的毎一级目录都会有一个资源目录头,它标识了该类资源的属性、创建日期和版本等信息.其中也包含了随后的目录项的数量描述信息。

详细结构定义如下:

IMAGE_RESOURCE_DIRECTORY STRUCT 
    Characteristics                 //dd   0000h资源属性
    TimeDatestamp                   //dd   0004h时间戳
    MajorVersion                    //dw   0008h资源大版本号
    MinorVersion                    //dw   0008h资源小版本号
    NumberOfNamedEntries            //dw   以名称命名的入口数量
    NumberOfIdEntries               //dw   命名的入口数量
IMAGE RESOURCE DIRECTORY ENDS

各字段的详细解释:

73.IMAGE_RESOURCE_DIRECTORY.Characteristics
+0000h,双字。资源属性,保留为将来使用,必须为0。

74.IMAGE_RESOURCE_DIRECTORYTimeDateStamp
+0004h,双字。时间戳,即创建该资源的时间。

75.IMAGE_RESOURCE_DIRECTORY. MajorVersion IMAGE_RESOURCE_DIRECTORY. MinorVersion
+0008h,双字。资源的版本号。未用,大部分情况下为0。

76.IMAGE_RESOURCE_DIRECTORY. NumberOfNamedEntries
+000ch,双字。以名称命名的资源个数。

77.IMAGE_RESOURCE_DIRECTORY. NumberOfldEntries +000eh,双字。以ID命名的资源个数。
以上字段中,最重要的是76和77两个字段。在资源脚本文件中,定义资源时,既可以使用字符串作为名称来标识一个资源,也可以通过ID号来标识资源。资源目录项的数量等于两者之和。

5.2.4 资源目录项 IMAGE_RESOURCE_DIRECTORY_ENTRY

紧跟在资源目录后的数据结构,就是在资源目录中声明的资源目录项。一个资源目录可能有多个资源目录项(以名称定义的资源目录项或以ID定义的资源口录项,或者两者组合),目录项和目录项之间是线性排列的。首先按照字母升序(不分大小写)排列名称资源目录项, 然后再按ID升序排列ID资源目录项。

PE-资源表

资源目录项数据结构的详细定义:

typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY {
	union {
		struct {
			DWORD NameOffset : 31;			//资源名偏移
			DWORD NameIsString : 1;			//资源名为字符串
		};
		DWORD   Name;					//资源/语言类型
		WORD    Id;					//资源数字ID
	};
	union {
		DWORD   OffsetToData;				//数据偏移地址
		struct {
			DWORD   OffsetToDirectory : 31;         //子目录偏移地址
			DWORD   DataIsDirectory : 1;	        //数据为目录
		};
	};
} IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;

77.IMAGE_RESOURCE_DIRECTORY_ENTRY.Name1
+0000h,双字。第一个union字段,它定义了目录项的名称或者ID。
该双字的髙位(即31位)如果为1,则表示低地址部分为一个指向Unicode字符串的指针 (注意,这里的字符串不是Ansi字符串,所以另有规定);如果为0,则表示该字段为一个编号。 资源中对字符串的定义全部采用Unicode编码,该指针并不直接指向一个以“\0”结尾 的字符串所在地址,而是指向了结构IMAGE_RESOURCE_DIR_STRING_U。该结构完善了指针的定义(即不仅包含指针,还包含指针指向的块长度,大家可以自己想想为什么这里需 要长度字段),其详细定义如下:

MAGE_RESOURCE_DIR_STRING_U STRUCT 
Lengthl    //dw  OOOOh -字符串长度
Namestring //dw  0002h - Unicode 字符串,长度不确定
IMAGE_RESOURCE_DIR_STRING_U ENDS

78.IMAGE_RESOURCE_DIRECTORY_ENTRY.OffsetToData
+0004h,双字。这个字段是一个指针,当它的高位(第31位)为0时,指针指向的是描 述资源数据块的指针,通常出现在第三级目录中;当高位为1时,低位数据指向下一级目录块的起始地址。
提示:字段78和79中的地址并不是基于文件起始地址的,它的偏移是基于资源表的起始位置。

5.2.5 资源数据项 IMAGE_RESOURCE_DATA_ENTRY

资源数据项其实就是前面所说的“目录-文件”结构中的“文件”。它是通过三次目录 定位后找到的一个数据结构
如图,第三级目录项中的字段IMAGE_RESOURCE_DIRECTORY_ENTRY. OffsetToData指向了资源数据项,而资源数据项中的OfftetToData字段则指向了资源数据块。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JWfJBANr-1639892528787)(C:\Users\megaparsec\AppData\Roaming\Typora\typora-user-images\image-20211114191029716.png)]

IMAGE_RESOURCE_DATA_ENTRY STRUCT
     OffsetToData	dd 0000h  -资源数据的 RVA
     Sizel	        dd 0004h	-资源数据的长度
     CodePage	    dd 0008h	-代码页
     Reserved	    dd 000Ch	-保留字段
IMAGE_RESOURCE_DATA_ENTRY ENDS

80.IMAGE_RESOURCE_DATA_ENTRY.OffsetToData
+0000h,双字。该字段是一个指向资源数据块的指针,是一个RVA值,在文件中访问时需要注意转换成文件偏移。此处指向的资源数据块还不是赤裸裸的资源信息,而是附加了一 些数据结构的资源块。后面7.4节还会对常用的资源块进行进一步的解析。

81.IMAGE_RESOURCE_DATA_ENTRYSizel
+0004h,双字。资源数据的大小。

82.IMAGE_RESOURCE_DATA_ENTRY.CodePage
+0008h,双字。代码页,未用,大多数情况下为0。

83.IMAGE_RESOURCE_DATA_ENTRY.Reserved
+000ch,双字。保留字段。总是为0。
对资源表的大部分编程,只要能解析出该结构中指定资源块所处的地址和资源块的大小

5.2.6 三级结构中目录项的区别

由于目录处的级别不同,目录中各字段所表述的内容也不一样;尽管它们具有相同的数 据结构和完全相同的字段,在不同级别的目录项中有些字段的含义是不一样的。本小节就专 门研究三级目录中目录项各字段不一样的地方。

1.IMAGE_RESOURCE_DATA_ENTRY.Name1
(1)字段最髙位(即31位)为1
当结构用于第一层目录时,表示这是一个非标准的类型。由该字段的低31位组成一个偏移值,该偏移是相对于资源基地址的特殊偏移地址。该地址指向一个IMAGE_RESOURCE_ DIR_STRING_U结构表示的Unicode字符串。字符串为非标准的类型的名字。类似于本章第 1节自定义资源中的“DLLTYPE”。
当结构用于第二层目录时,表示这是一个非标准的命名。由该字段的低31位组成一个偏移值,该偏移是相对于资源基地址的特殊偏移地址。该地址指向一个IMAGE_RESOURCE_ DIR_STRING_U结构表示的Unicode字符串。字符串为非标准的类型下的命名,类似于本章 第1节自定义资源中的“DIB_WINRESULT”。
当结构用于第三层目录时,表示这是一个标准的语言(没有预定义的代码页)。由该字段的低31位组成一个偏移值,该偏移足相对干资源基地址的特殊偏移地址。该地址指向一个IMAGE_ RESOURCE_DIR_STRING_U结构表示的Unicode字符串。字符串为彳麻准的语言的名字。
(2)字段第31位为0
当结构用于第一层目录时,表示这是标准的类型(预定义的类型)。由该字段的低16位组成整数标识符ID,由于该类型巳定义,所以可以通过该标识符获取预先定义的名字。例如 该值为03h,则名字表示预定义当中的“ICON”。
当结构用于第二层目录时,表示这是标准的命名(预定义的类型)。由该字段的低16位组成整数标识符ID来定义名字。
当结构用于第三层B录时,表示这是标准的语言代码(预定义的类型)。由该字段的低16位组成整数标识符ID,可以通过该标识符获取预先定义的语言的名称。如ID=2052,表 示该语言为Simpled_Chinese (简体中文)。大多数情况下,毎个资源的代码页只定义一种。

2.IMAGE_RESOURCE_DATA_ENTRY.OffsetToData
(1)字段第31位为1
当结构用于第-层目录时,由该字段低31位组成一个整数偏移地址。该地址是相对干资 源起始地址的偏移,该偏移指向下一个目录。
当结构用于第二层目录时,由该字段低31位组成一个整数偏移地址。该地址是相对于资 源起始地址的偏移,该偏移指向下一个目录。
第三层目录的该值第31位不为1。
(2)字段第31位为0
第一层目录的该值第31位不为0。 第二层目录的该值第31位不为0。
当结构用于第三层目录时,表示该卞段指向一个数据项IMAGE_RESOURCE_DATA_ ENTRY。 .
注意由低31位组成的地址是基于资源起始地址的。

5.2.7 遍历资源表

代码1:

#define _CRT_SECURE_NO_WARNINGS
#include<Windows.h>
#include<stdlib.h>
#include<stdio.h>

#define FILE_PATH_IN    "C:/Windows/System32/notepad.exe"

static const char* szResName[0x11]
{
    0,
    "Corsor",
    "Bitmap",
    "Icon",
    "Menu",
    "Dialog",
    "StringTable",
    "FontDir",
    "Font",
    "Accelerator",
    "RCDATA",
    "MessageTable",
    "GroupCursor",
    "zz",
    "GroupIcon",
    "xx",
    "Version"
};

DWORD RVA2FOA(IN DWORD stRVA, IN LPVOID pFileBuffer)
{
    //重置头指针
    PIMAGE_DOS_HEADER pDosHeader = nullptr;
    PIMAGE_NT_HEADERS pNTHeader = nullptr;
    PIMAGE_FILE_HEADER pFileHeader = nullptr;
    PIMAGE_OPTIONAL_HEADER pOptionalHeader = nullptr;
    PIMAGE_SECTION_HEADER pSectionHeader = nullptr;

    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;
    pNTHeader = (PIMAGE_NT_HEADERS)((DWORD)pFileBuffer + pDosHeader->e_lfanew);
    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNTHeader + sizeof(pNTHeader->Signature));
    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);
    pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);

    //内存对齐
    DWORD dwMemAlignCount = pOptionalHeader->FileAlignment;

    //节区头个数
    DWORD dwSectionCount = pFileHeader->NumberOfSections;

    //距节区的偏移
    DWORD dwDiffer = 0;

    for (DWORD i = 0; i < dwSectionCount; i++,pSectionHeader++)
    {
        //在内存中对齐后的大小
        DWORD dwBlockCount = 0;
        dwBlockCount = pSectionHeader->SizeOfRawData / dwMemAlignCount;
        dwBlockCount += (pSectionHeader->SizeOfRawData % dwMemAlignCount ? 1 : 0);

        DWORD dwBeginRVA = pSectionHeader->VirtualAddress;
        DWORD dwEndRVA = pSectionHeader->VirtualAddress + dwBlockCount * dwMemAlignCount;

        if (stRVA >= dwBeginRVA && stRVA < dwEndRVA)
        {
            dwDiffer = stRVA - dwBeginRVA;
            return dwDiffer + pSectionHeader->PointerToRawData;
        }

        else if (stRVA < dwBeginRVA)
        {
            return stRVA;
        }
    }

    return 0;
}

DWORD ReadFile(OUT LPVOID* pFileBuffer,IN const char* lpszFile)
{
    LPVOID pTempFileBuffer = nullptr;
    FILE* pFile = nullptr;

    DWORD FileSize = 0;
    size_t n = 0;

    //打开文件
    pFile = fopen(lpszFile, "rb");
    if (pFile == nullptr)
    {
        printf("文件打开失败");
        return 0;
    }

    //计算文件长度
    fseek(pFile, 0, SEEK_END);
    FileSize = ftell(pFile);
    fseek(pFile, 0, SEEK_SET);

    //分配缓冲区
    pTempFileBuffer = calloc(FileSize, sizeof(char));
    if (pTempFileBuffer == nullptr)
    {
        printf("缓冲区分配失败");
        fclose(pFile);
        return 0;
    }

    //初始化缓冲区
    memset(pTempFileBuffer, 0, FileSize);

    //读取文件
    n = fread(pTempFileBuffer, FileSize, 1, pFile);
    if (n == 0)
    {
        printf("读取文件失败");
        fclose(pFile);
        free(pTempFileBuffer);
        pTempFileBuffer = nullptr;
        return 0;
    }

    //关闭文件
    fclose(pFile);

    *pFileBuffer = pTempFileBuffer;
    pTempFileBuffer = nullptr;

    return n;
}

void PrintResourceTable()
{
    PIMAGE_DOS_HEADER pDosHeader = nullptr;
    PIMAGE_NT_HEADERS pNTHeader = nullptr;
    PIMAGE_FILE_HEADER pFileHeader = nullptr;
    PIMAGE_OPTIONAL_HEADER pOptionalHeader = nullptr;

    PIMAGE_DATA_DIRECTORY pDataDirectory = nullptr;
    PIMAGE_RESOURCE_DIRECTORY pResourceTable = nullptr;
    PIMAGE_RESOURCE_DIRECTORY_ENTRY pResourceEntry = nullptr;

    LPVOID pFileBuffer = nullptr;
    DWORD dwSize = 0;
    
    dwSize = ReadFile(&pFileBuffer, FILE_PATH_IN);
    if (dwSize == 0 || pFileBuffer == nullptr)
    {
        printf("读取文件失败");
    }

    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;
    pNTHeader = (PIMAGE_NT_HEADERS)((DWORD)pFileBuffer + pDosHeader->e_lfanew);
    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNTHeader + sizeof(pNTHeader->Signature));
    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);

    //定位资源表
    pDataDirectory = (PIMAGE_DATA_DIRECTORY)(&pOptionalHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_RESOURCE]);
    pResourceTable = (PIMAGE_RESOURCE_DIRECTORY)((DWORD)pFileBuffer + RVA2FOA(pDataDirectory->VirtualAddress, pFileBuffer));
    pResourceEntry = (PIMAGE_RESOURCE_DIRECTORY_ENTRY)(pResourceTable + 1);

    //解析第一层
    DWORD dwTypeCount = pResourceTable->NumberOfIdEntries + pResourceTable->NumberOfNamedEntries;
    for (DWORD i = 0; i < dwTypeCount; i++)
    {
        //最高位为0
        if (pResourceEntry[i].NameIsString == 0)
        {
            if (pResourceEntry[i].Id < 0x11)
            {
                printf("资源类型ID:%d %s\n", pResourceEntry[i].Id, szResName[pResourceEntry[i].Id]);
            }
            else
            {
                printf("资源类型ID:%d\n", pResourceEntry[i].Id);
            }
        }
        //最高位为1
        else if (pResourceEntry[i].NameIsString == 1)
        {
            PIMAGE_RESOURCE_DIR_STRING_U pStr = (PIMAGE_RESOURCE_DIR_STRING_U)((DWORD)pResourceTable + pResourceEntry[i].NameOffset);
            WCHAR szStr[MAX_PATH] = { 0 };
            memcpy(szStr, pStr->NameString, pStr->Length * sizeof(WCHAR));
            printf("资源类型名称:%ls\n", szStr);
        }

        //解析第二层
        if (pResourceEntry[i].DataIsDirectory == 1)
        {
            printf("第二层目录偏移:%x\n", pResourceEntry[i].OffsetToDirectory);
            PIMAGE_RESOURCE_DIRECTORY pRes2 = (PIMAGE_RESOURCE_DIRECTORY)((DWORD)pResourceTable + pResourceEntry[i].OffsetToDirectory);
            PIMAGE_RESOURCE_DIRECTORY_ENTRY pResEntry2 = (PIMAGE_RESOURCE_DIRECTORY_ENTRY)(pRes2 + 1);
            DWORD dwCount = pRes2->NumberOfIdEntries + pRes2->NumberOfNamedEntries;

            for (DWORD i = 0; i < dwCount; i++)
            {
                //最高位为0
                if (pResEntry2[i].NameIsString == 0)
                {
                    printf("  ->资源标识ID:%d\n", pResEntry2[i].Id);
                }
                else
                {
                    PIMAGE_RESOURCE_DIR_STRING_U pStr = (PIMAGE_RESOURCE_DIR_STRING_U)((DWORD)pResourceTable + pResEntry2[i].NameOffset);
                    WCHAR szStr[MAX_PATH] = { 0 };
                    memcpy(szStr, pStr->NameString, pStr->Length * sizeof(WCHAR));
                    printf("  ->资源名称:%ls\n", szStr);
                }

                //解析第三层
                if (pResEntry2[i].DataIsDirectory == 1)
                {

                    PIMAGE_RESOURCE_DIRECTORY pRes3 = (PIMAGE_RESOURCE_DIRECTORY)((DWORD)pResourceTable + pResEntry2[i].OffsetToDirectory);
                    PIMAGE_RESOURCE_DIRECTORY_ENTRY pResEntry3 = (PIMAGE_RESOURCE_DIRECTORY_ENTRY)(pRes3 + 1);
                    printf("    -->代码页标号为:%x\n", pResEntry3->Id);
                    if (pResEntry3->DataIsDirectory == 0)
                    {
                        PIMAGE_RESOURCE_DATA_ENTRY pResDataEntry = (PIMAGE_RESOURCE_DATA_ENTRY)((DWORD)pResourceTable+pResEntry3->OffsetToData);
                        printf("    --数据RVA:%x\n", pResDataEntry->OffsetToData);
                        printf("    --数据大小:%x\n", pResDataEntry->Size);
                    }
                }
            }
            
        }
    }

}

int main()
{
    PrintResourceTable();

    return 0;
}

代码2:

void RESOURCE_Dlg::MakeTree(HTREEITEM hitem,IMAGE_RESOURCE_DIRECTORY* lpIMAGE_RESOURCE_DIRECTORY)
{
        WORD nCount = lpIMAGE_RESOURCE_DIRECTORY->NumberOfIdEntries + lpIMAGE_RESOURCE_DIRECTORY->NumberOfNamedEntries;
        IMAGE_RESOURCE_DIRECTORY_ENTRY* lpRESOURCE_DIRECTORY = (struct _IMAGE_RESOURCE_DIRECTORY_ENTRY *)(lpIMAGE_RESOURCE_DIRECTORY + 1);
        for (int i = 0 ; i < nCount; i ++)
        {
               
                if (lpRESOURCE_DIRECTORY->DataIsDirectory == 1)
                {
                        CString csTemp;
                        DWORD RESOURCEAdder = lpRESOURCE_DIRECTORY->OffsetToDirectory + (DWORD)m_lpIMAGE_RESOURCE_DIRECTORY;

                        csTemp.Format("资源编号%d : 目录地址%p",lpRESOURCE_DIRECTORY->Id,lpRESOURCE_DIRECTORY->OffsetToDirectory + m_dwMemImageBase);

                        HTREEITEM newhitem = m_TreeRESOURCE.InsertItem(csTemp,hitem);
               
                        MakeTree(newhitem,(struct _IMAGE_RESOURCE_DIRECTORY *)RESOURCEAdder);
                }
                else
                {
                        CString csTemp;
                        DWORD RESOURCEAdder = lpRESOURCE_DIRECTORY->OffsetToDirectory + (DWORD)m_lpIMAGE_RESOURCE_DIRECTORY;
                        IMAGE_RESOURCE_DATA_ENTRY * lpRESOURCE_DATA = (struct _IMAGE_RESOURCE_DATA_ENTRY *)(lpRESOURCE_DIRECTORY->OffsetToDirectory + (DWORD)m_lpIMAGE_RESOURCE_DIRECTORY);

                        csTemp.Format("数据地址%p,数据长度%p",lpRESOURCE_DATA->OffsetToData,lpRESOURCE_DATA->Size);
                       
                        m_TreeRESOURCE.InsertItem(csTemp,hitem);
                }
                lpRESOURCE_DIRECTORY++;
        }

        return;
}

BOOL RESOURCE_Dlg::OnInitDialog()
{
        CDialog::OnInitDialog();
       
        m_TreeRESOURCE.DeleteAllItems();
        HTREEITEM hitem = m_TreeRESOURCE.InsertItem("资源表");
        MakeTree(hitem,m_lpIMAGE_RESOURCE_DIRECTORY);
        SetWindowLong(m_hWnd,GWL_STYLE,
       GetWindowLong(m_hWnd,GWL_STYLE)|TVS_CHECKBOXES|TVS_HASBUTTONS|TVS_HASLINES|TVS_LINESATROOT);
        return TRUE;  // return TRUE unless you set the focus to a control
                      // EXCEPTION: OCX Property Pages should return FALSE
}

5.4 PE资源表解析

5.4.1 资源脚本

PE.exe的资源定义在文件pe.rc中,文件中一共定义了三种资源:图标、菜单和对话框。 详细定义如下:

#include <resource.h>
#define	ICO_MAIN	1000;常量定义
#define	DLG_MAIN	1000
#define	IDC_INFO	1001
#define	IDM_MAIN	2000
#define	IDM_OPEN	2001
#define	IDM_EXIT	2002

#define	IDM_1	4000
#define	IDM_2	4001
#define	IDM_3	4002
#define	IDM_4	4003

ICO_MAIN  ICON "mian.ico"      ;图标定义
 DLG_MAIN DIALOG 50,50,544,399	;对话框定义
 STYLE DS_MODALFRAME | WSPOPUP | WS_VISIBLE | WS_CAPTlON | WS_SYSMENU CAPTION "PE 文件基本信息 by  qixiaorui"
 MENU IDM_MAIN
 FONT 9,"宋体"
 BEGIN
   CONTROL "",IDC_INFO,"RichEdit20A",196 | ES_WANTRETURN | WSCHILD | ES_READONLY | WS_VISIBLE |WSBORDER                 | WSVSCROLL | WSTABSTOP,0,0,540,396 
 END
 IDM MAIN menu discardable	;主菜单定义
 BEGIN
    POPUP "文件(&F)" 
 BEGIN
   menuitem "打开文件(&0)…",IDM_OPEN 
   menuitem separator 
   menuitem "退出(&x) " , IDM_EXIT
 END
 POPUP "查看"
 BEGIN
   menuitem "源文件",IDM_1 
   menuitem "窗口透明度",IDM 2
   menuitem separator
   menuitem "大小",IDM_3 menuitem "宽度",I DM 4
  END
END

5.4.2 要明确的概念

1.资源表中的Unicode字符
资源文件中的所有字符串都以Unicode格式存储,每个字符都由一个16位(单字)值表 示,字符串以UNICODE_NULL (该值是两个“\0”字节)结束。
**资源编译器调用Windows API中的MultiByteToWideChar函数将ASCII字符串转换为Unicode字符串,所有溢出的字符 都被当做合法的Unicode字符直接存储。**当这些字符串被程序以ASCII字符读出(例如使用 LoadString API)时,系统将它们再由Unicode转换为ASCII字符。
仅有的例外是在RCDATA语句中的字符串。这些“伪”字符串并不是真正的字符串,只 被当做一些字节的集合。用户可能会用RCDATA i§句存储一些自定义的数据结构,如果一个“伪”字符串被自动转换为Unicode字符串存储起来,这个“伪”字符串就会按照Unicode 字符串的格式被存储,从而导致这个“伪”字符串字节码内容的改动。假设这个“伪”字符 串是一个PE文件的字节码,再次被释放以后,这个PE文件就可能无法运行了。因此,这些 “伪”字符串必须以它的本来面目存储下来,即字节码。若想在RCDATA语句中包含Unicode 字符串,用户可以使用带“L”前缀的字符串。

2.资源字节码对齐
为使二进制资源文件更容易读写,在Win32下,文件中的所有对象都是双字对齐的,包 括头信息和数据项。这并不会改变资源数据结构中每个字段的顺序,但会在这些字段中间增 加一些填充域;通常情况下,这些填充域的值均为0。
资源中的大部分类型都遵循该规则,但有两个除外,一个是字体(font),另一个是字体 目录(fontdir)。因为这两个结构直接复制自别的文件,它们并不被资源编译器所使用。

3.一个字段的多重定义
在接下来的数据结构中,大家会看到类似于“[名称或序数]”这样的字段描述。“[名称或序数]”字段的第一个单字,标志这个字段到底是一个数字还是一个字符串。如果它等于Oxffff (一个非法的Unicode字符),那么在它后面的单字信息就是一个类型序号(一个数字);否则, 这个字段就是一个Unicode字符串。
如果类型域是一个数字,那它就代表一个标准的或者用户自定义的资源类型。所有标准的Windows资源类型都被赋予一个特定的值(如下所示),它包含了绝大多数资源类型的类型序数。

/* 预定义的资源类型*/ 
#define RT_NEWRESOURCE 0x2000 
#define RT_ERROR 0x7fff 
#define RT_CURSOR 1 
#define RT_BITMAP 2 
#define RT_ICON 3 
#define RT_MENU 4 
#define RT_DIALOG 5 
#define RT_STRING 6 
#define RT_FONTDIR 7 
#define RT_FONT 8 
#define RT_ACCELERATORS 9 
#define RT RCDATA 10 
#define RT_MESSAGETABLE 11
#define RT_GROUP_CURSOR 12
#define RT_GROUP_ICON 14
#define RT_VERSION 16 
#define RT_NEWBITMAP (RT_BITMAP | RT_NEWRESOURCE) 
#define RT_NEWMENU (RT_MENU | RT_NEWRESOURCE) 
#define RT_NEWDIALOG (RT_DIALOG | RT_NEWRESOURCE)


#### 5.4.3 菜单资源表

菜单资源表数据结构
菜单资源由一个菜单头加一个菜单项的序列组成。菜单项有两种:弹出式(POPUP)菜 単项和普通菜单项。
菜单头结构定义如下:


```cpp
MenuHeader STRUCT
   wVersion	    //dw 版本号。暂时取值为0
   cbHeaderSize	//dw 头大小。暂时取值为0
MenuHeader ENDS

菜单头后面紧跟着菜单项,不同的菜单项具有不同数据结构的定义。
一般菜单项数据结构完整定义如下:

NormalMenuItem STRUCT
  fItemFlags	//dw	菜单标志
  wMenuID	    //dw	菜单ID
  szItemText	//dd	UnicOde 格式字符串,不确定长度
NormalMenuItem ENDS

其中,菜单分隔符MENUITEM SEPARATE也是普通菜单项,不过,其名称为空,ID为0, 标志也为0
fltemFlags是描述菜单项的标志集合。如果POPUP位被设置,则此项为弹出式的菜单项, 否则就是一个普通的菜单项。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-IBh0Bpbj-1639892528788)(C:\Users\megaparsec\AppData\Roaming\Typora\typora-user-images\image-20211114194350073.png)]

弹出式菜单项数据结构定义如下:

PopupMenuItem STRUCT
  fltemFlags //dw ?	菜单标志
  szItemText //dd ?  Unicode 字符.大小不确定
PopupMenuItem ENDS

5.4.4 图标资源

图标有一套标准的大小和属性格式,且通常是小尺寸的。以ICO文件为例,一个ICO文 件就是一套相似的图片,每一张图片具有不同的尺寸和颜色数,目的是适应不同的计算机操 作系统和显示设备。
操作系统在显示一个图标时,会按照一定的标准选择图标中最适合当前显示环境和状态的图像。

1.ICO文件结构
每个ICO文件的开始都有一个头部信息。该头部信息描述了 ICO文件中存在多少个图 标,以及毎个图标的基本信息,头部信息的结构:

ICON_DIR STRUCT
  idreserved       dw 	;保留字,必須为0
  idtype	       dw 	;资源类别,如粟是1表示为ICO文件
  idcount	       dw 	;图标敎.量
  icondirentry ICON_DIR_ENTRY [idcount] <?>	;图标项,一个图标一项
ICON_DIR ENDS	

idcount表示该ICO文件包含图标的数量。理论上,一个ICO文件最多可以包含65535个图标。接下来,是该文件所包含的毎一个图标的详细描述。

ICON_DIR_ENTRY STRUCT
  bWidth	    db		;宽度
  bHeight	    db		;高度
  bColorCount	db		;颜色数
  bReserved	    db		;保留字.必埙为0
  wPlanes	    dw		;调色板
  wBitCount	    dw		;每个像素的位数
  dwBytesInRes	dd	    ;资源长度
dwImageOffset	dd		;资源在文件偏移
ICON_DIR_ENTRY ENDS

ICON_DIR_ENTRY结构记录了每一个图标的尺寸、色深、图标资源占用的字节数。 dwImageOffset是一个文件偏移地址,指向图标资源数据起始位置。PE文件中的图标保存格 式与“.ico”文件中图标的保存格式略有不同。PE文件中,把ICON_DIR和图标资源作为两 种资源类型分别保存,前者是RT_GROUP_ICON类型,后者是RT_ICON类型。
在“.ico”文件中,ICON_DIR_ENTRY结构最后一个成员dwImageOffset表示图标资源 文件偏移地址,是一个双字;而在PE文件中,GRP_ICON_DIR_ENTRY结构最后一个成员 nID是一个字,表示图标的索引ID。

PE-资源表

ICO文件分为三部分:图标头、图标项和图标数据。这三部分在PE文件 中会被電新组合,其中,图标头会被i新组合为资源类型RT_GROUP_ICON,图标项和图标 数据则被组合为资源类型RT_ICON。

图标头的idcount字段定义ICO 里图标的个数;每个图标的属性由图标项定义;图标项的字段dwImageOffset则指向了 ICO文 件中该图标数据的位置。

PE-资源表

PE-资源表

5.4.4 对话框资源

对话框的头是一个DialogBoxHeader结构
PE中的资源表实际是一个四层的排序二叉树的典型应用

上一篇:RobotFramework的介绍与环境搭建


下一篇:Xlib 应用被覆盖遮挡或者移出屏幕时,获取窗口截图