< ><STRONG>重要声明:本文乃转载自其他社区,由于在下无法获得任何有关作者和出处的信息,所以不能在此登出,恳请作者原谅,并希望知情者能告知在下。本着资源的共享的精神,在下深信作者不会拒绝在下的转载行为。同时强烈BS数学中国的下载系统,它不但不能及时给予他人需要的帮助,还浪费了他人大量的时间,仅仅是为了获得无聊的点数,而且遗憾的是,那些点数并不能保证你真能获得帮助!</STRONG></P>
1 i1 W1 @/ `! Z9 L; x- U< >文件头<br> 文件头,自然是从文件的0偏移处开始,它的结构很简单。用C的结构描述如下:<br>typedef struct {<br> unsigned short usMagic; // 魔法数字<br> unsigned short usNumSec; // 段落(Section)数<br> unsigned long ulTime; // 时间戳<br> unsigned long ulSymbolOffset; // 符号表偏移<br> unsigned long ulNumSymbol; // 符号数<br> unsigned short usOptHdrSZ; // 可选头长度<br> unsigned short usFlags; // 文件标记<br>} FILEHDR;<br> 结构中usMagic成员是一个魔法数字(Magic Number),在I386平台上的COFF文件中它的值为0x014c。如果COFF文件头中魔法数字不为0x014c,那就不用看了,这不是一个I386平台的COFF文件。其实这就是一个平台标识。<br> 第二个成员usNumSec是一个无符号短整型,它用来描述段落的数量。段落头(Section Header)的数目就是它。<br> ulTime成员是一个时间戳,它用来描述COFF文件的建立时间。当COFF文件为一个可执行文件时,这个时间戳经常用来当做一个加密用的比对标识。<br> ulSymbolOffset是符号表在文件中的偏移量,这是一个绝对偏移量,要从文件头开始计数。在COFF文件的其它节中,也存在这种偏移量,它们都是绝对偏移量。<br> ulNumSymbol成员给出了符号表中符号记录的数量。<br> usOptHdrSZ是可选头的长度,通常它为0。而可选头的类型也是从这个长度得知的,针对不同的长度,我们就要选择不同的处理方式。<br> usFlag是COFF文件的属性标记,它标识了COFF文件的类型,COFF文件中所保存的数据等等信息。</P>4 D& E, m6 }# q( ?% T6 o/ Z, u
< >具体数值和说明请见下表:</P>
! C& A% f. N6 O! h: h2 G< >
; {7 j* E6 m. x U2 I5 B<TABLE borderColor=#cccccc cellSpacing=2 cellPadding=2 width="100%" align=center bgColor=#ffffff border=1>( l: F9 j5 \ g
: H# x4 x, O+ z8 U
<TR>( m6 w: q$ `3 R% F) M, r
<TD>4 D4 @6 r1 Z" M4 e2 E K8 Q, M5 y( x
< >值</P></TD>
1 {6 F0 w/ M y3 K( K- O5 d<TD>9 {( H# r% Z' c/ W
< >名称</P></TD>8 @' c# P- F: O* r( s
<TD>
8 Q0 d% K: f" l2 k< >说明</P></TD>$ I) [/ \8 L, j- [( k2 x$ A O ^! o
<TR>
5 }" s: v8 I- x# }<TD>
& a6 A. G5 }4 X) y# A3 A0 \' Q< >0x0001</P></TD>+ A$ j6 |' }! q6 B9 n g
<TD>
7 l3 v8 F/ n2 \" y6 r9 p< >F_RELFLG </P></TD>
' ~8 M8 k' X9 @. O- a<TD>- z- `( Q" A B7 Q; j5 U8 B
< >无重定位信息标记。这个标记指出COFF文件中没有重定位信息。通常在目标文件中这个标记们为0,在可执行文件中为1。</P></TD># ^3 L' _/ b9 H$ i8 j
<TR>4 v9 o x1 e- N/ x4 T
<TD> ]& @# O: U" P7 _6 T* \# l
< >0x0002</P></TD>
. B) n' q) v8 k<TD>
' h8 G( x2 o9 \7 Y& |4 O< >F_EXEC</P></TD>
- X' @& G9 y3 S0 P K# \<TD>
! r$ c: G5 B6 A( P< >可执行标记。这个标记指出 COFF</FONT> 文件中所有符号已经解析, COFF</FONT> 文件应该被认为是可执行文件。</P></TD>
e& n* g$ ~$ q- {1 n3 n7 G<TR>
) K g( R3 a% f<TD>
0 ]6 n8 A) W7 d) v/ C< >0x0004</P></TD>
* L* G' H* [8 \<TD>- m5 x/ s' X0 G, r- H
< >F_LNNO</P></TD>4 L. n5 E& ~( G! G; s* o' C- f% |1 |
<TD>! o2 ~' G1 J+ J- o$ I
< >可执行标记。这个标记指出 COFF</FONT> 文件中所有符号已经解析, COFF</FONT> 文件应该被认为是可执行文件。</P></TD>
0 j2 s" J! f$ F, F3 G2 l<TR>
7 p8 }. c( h1 n/ T" G! F<TD>
. e/ w4 ^1 U/ C& r< >0x0008</P></TD>
9 V2 p# V- n' Y9 u2 w$ c# L6 t. h; k<TD>
4 N* ]8 T/ y8 z< >F_LSYMS</P></TD>9 U- v* [. L% M7 y: O
<TD>9 r& i% Z* U3 H
< >文件中的符号信息已经被去掉。</P></TD>
6 O, h7 B% x8 h* _- p% M0 H+ m<TR>: B/ z9 H- g% c, D$ o( W
<TD>
2 J* {0 o; c0 u8 M' P" {< >0x0100</P></TD>
( B# x7 B/ n1 N B0 `<TD>
/ w' g' L* `( O% ?< >F_AR32WR</P></TD>
$ _, V8 M) h& [$ b! B/ m/ J<TD>
1 s& ^. W2 b* t% t( W) W6 p0 R4 c< >些标记指出文件是 32 位的 Little-Endian COFF文件。</P></TD></TR></TABLE></P>! H( S6 x* r) }3 T2 O" Y3 X# z9 i
< >注:Little-Endian,记不得它的中文名称了。它是指数据的排列方式。比如:十六进制的0x1234以Little-Endian方式在内存中的顺序为0x34 0x12。与之相反的是Big-Endian,这种方式下,在内存中的顺序是0x12 0x34。<br>这个表的内容并不全面,但在目标文件中,常用的也就只有这些。其它的标记我将在以后介绍PE格式时给出。<br>可选头<br> 可选头接在文件头的后面,也就是从COFF文件的0x0014偏移处开始。长度可以为0。不同长度的可选头,其结构也不同。标准的可选头长度为24或28字节,通常是28啦。这里我就只介绍长度为28的可选头。(因为这种头的长度是自定义的,不同的人定义的结果就不一样,我只能选一种最常用的头来介绍,别的我也不知道)<br>这种头的结构如下:<br>typedef struct {<br> unsigned short usMagic; // 魔法数字<br> unsigned short usVersion; // 版本标识<br> unsigned long ulTextSize; // 正文(text)段大小<br> unsigned long ulInitDataSZ; // 已初始化数据段大小<br> unsigned long ulUninitDataSZ; // 未初始化数据段大小<br> unsigned long ulEntry; // 入口点<br> unsigned long ulTextBase; // 正文段基址<br> unsigned long ulDataBase; // 数据段基址(在PE32中才有)<br>} OPTHDR;<br> 第一个成员usMagic还是魔法数字,不过这回它的值应该为0x010b或0x0107。当值为0x010b时,说明COFF文件是一个一般的可执行文件;当值为,0x0107时,COFF则为一个ROM镜像文件。<br> usVersion是COFF文件的版本,ulTextSize是这个可执行COFF的正文段长度,ulInitDataSZ和ulUninitDataSZ分别为已初始化数据段和未初始化数据段的长度。<br> ulEntry是程序的入口点,也就是COFF载入内存时正文段的位置(EIP寄存器的值),当COFF文件是一个动态库时,入口点也就是动态库的入口函数。<br> ulTextBase是正文段的基址。<br> ulDataBase是数据段基址。<br> 其实在这些成员中,只要注意usMagic和ulEntry就可以了。</P>- k) w, L/ N; s, T9 ?5 k
[此贴子已经被作者于2005-9-17 14:50:44编辑过] |