[转载]COFF文件格式（2）

Blackbird

<><STRONG>重要声明：本文乃转载自其他社区，由于在下无法获得任何有关作者和出处的信息，所以不能在此登出，恳请作者原谅，并希望知情者能告知在下。本着资源的共享的精神，在下深信作者不会拒绝在下的转载行为。同时强烈BS数学中国的下载系统，它不但不能及时给予他人需要的帮助，还浪费了他人大量的时间，仅仅是为了获得无聊的点数，而且遗憾的是，那些点数并不能保证你真能获得帮助！</STRONG></P>
4 k; k8 b- i" u* [<>文件头<br>    文件头，自然是从文件的0偏移处开始，它的结构很简单。用C的结构描述如下：<br>typedef struct {<br>  unsigned short usMagic;  // 魔法数字<br>  unsigned short usNumSec;  // 段落（Section）数<br>  unsigned long  ulTime;  // 时间戳<br>  unsigned long  ulSymbolOffset;  // 符号表偏移<br>  unsigned long  ulNumSymbol;  // 符号数<br>  unsigned short usOptHdrSZ;  // 可选头长度<br>  unsigned short usFlags;  // 文件标记<br>} FILEHDR;<br>    结构中usMagic成员是一个魔法数字（Magic Number），在I386平台上的COFF文件中它的值为0x014c。如果COFF文件头中魔法数字不为0x014c，那就不用看了，这不是一个I386平台的COFF文件。其实这就是一个平台标识。<br>    第二个成员usNumSec是一个无符号短整型，它用来描述段落的数量。段落头（Section Header）的数目就是它。<br>    ulTime成员是一个时间戳，它用来描述COFF文件的建立时间。当COFF文件为一个可执行文件时，这个时间戳经常用来当做一个加密用的比对标识。<br>    ulSymbolOffset是符号表在文件中的偏移量，这是一个绝对偏移量，要从文件头开始计数。在COFF文件的其它节中，也存在这种偏移量，它们都是绝对偏移量。<br>    ulNumSymbol成员给出了符号表中符号记录的数量。<br>    usOptHdrSZ是可选头的长度，通常它为0。而可选头的类型也是从这个长度得知的，针对不同的长度，我们就要选择不同的处理方式。<br>    usFlag是COFF文件的属性标记，它标识了COFF文件的类型，COFF文件中所保存的数据等等信息。</P>
<>具体数值和说明请见下表：</P>
<>
# I+ T& m1 I% A4 [<TABLE borderColor=#cccccc cellSpacing=2 cellPadding=2 width="100%" align=center bgColor=#ffffff border=1>

/ ~" z+ o! l1 b5 n! v3 s, K<TR>
& w! O' K3 _4 {. W9 i9 M9 c<TD>
2 {# r( R/ R1 L! z<>值</P></TD>
3 h. J9 P: {9 ?5 p& N  A<TD>
5 g& l9 H4 m7 g" ^; s<>名称</P></TD>
) u! u0 [; f9 M% u( I2 ]5 ?) `<TD>
<>说明</P></TD>
<TR>
, C0 |- _5 Q' R2 `<TD>
4 F- O& s& m1 C% k+ F$ c8 q<>0x0001</P></TD>
7 t9 P! N$ w1 Q# G# T<TD>
+ W3 T6 G: f2 y3 ?5 @4 J<>F_RELFLG  </P></TD>
; `+ Q5 o$ l3 A8 ~5 w<TD>
<>无重定位信息标记。这个标记指出COFF文件中没有重定位信息。通常在目标文件中这个标记们为0，在可执行文件中为1。</P></TD>
<TR>
3 a: p  [: \8 ~/ o9 B<TD>
<>0x0002</P></TD>
) x. `6 P/ M) I<TD>
2 D. w( c- Q0 b7 r' K( T3 j, i<>F_EXEC</P></TD>
9 {! B- |8 v6 N" O8 h3 |1 @<TD>
! s7 Y+ _3 \  P) m<>可执行标记。这个标记指出 COFF</FONT> 文件中所有符号已经解析， COFF</FONT> 文件应该被认为是可执行文件。</P></TD>
. L$ S" ]% R; O9 r, c# I4 J" `<TR>
<TD>
- g  F' S2 {" B: T' Q) f8 e<>0x0004</P></TD>
<TD>
7 Y* d0 B: P: E9 Y. g" Z3 D<>F_LNNO</P></TD>
  z0 o- b9 l. I: n5 M1 d7 N( g<TD>
6 h% F$ C6 q- G+ H  g<>可执行标记。这个标记指出 COFF</FONT> 文件中所有符号已经解析， COFF</FONT> 文件应该被认为是可执行文件。</P></TD>
6 ]* _' l3 C" q, a8 L* G6 D<TR>
<TD>
# q7 c# v4 G, v, |% I  M& |$ e5 i<>0x0008</P></TD>
) m+ y9 G1 ^# r% b7 w! h<TD>
* b4 u* a" h$ V2 q3 z<>F_LSYMS</P></TD>
) n. C6 r+ c  Q<TD>
<>文件中的符号信息已经被去掉。</P></TD>
<TR>
) u6 @- C3 a9 _4 ?$ }1 @<TD>
<>0x0100</P></TD>
( d2 V% R) T7 T* N/ F# Y<TD>
<>F_AR32WR</P></TD>
<TD>
<>些标记指出文件是 32 位的 Little-Endian COFF文件。</P></TD></TR></TABLE></P>
<>注：Little-Endian，记不得它的中文名称了。它是指数据的排列方式。比如：十六进制的0x1234以Little-Endian方式在内存中的顺序为0x34 0x12。与之相反的是Big-Endian，这种方式下，在内存中的顺序是0x12 0x34。<br>这个表的内容并不全面，但在目标文件中，常用的也就只有这些。其它的标记我将在以后介绍PE格式时给出。<br>可选头<br>    可选头接在文件头的后面，也就是从COFF文件的0x0014偏移处开始。长度可以为0。不同长度的可选头，其结构也不同。标准的可选头长度为24或28字节，通常是28啦。这里我就只介绍长度为28的可选头。（因为这种头的长度是自定义的，不同的人定义的结果就不一样，我只能选一种最常用的头来介绍，别的我也不知道）<br>这种头的结构如下：<br>typedef struct {<br>  unsigned short usMagic;  // 魔法数字<br>  unsigned short usVersion;  // 版本标识<br>  unsigned long  ulTextSize;  // 正文（text）段大小<br>  unsigned long  ulInitDataSZ;  // 已初始化数据段大小<br>  unsigned long  ulUninitDataSZ;  // 未初始化数据段大小<br>  unsigned long  ulEntry;  // 入口点<br>  unsigned long  ulTextBase;  // 正文段基址<br>  unsigned long  ulDataBase;  // 数据段基址（在PE32中才有）<br>} OPTHDR;<br>    第一个成员usMagic还是魔法数字，不过这回它的值应该为0x010b或0x0107。当值为0x010b时，说明COFF文件是一个一般的可执行文件；当值为，0x0107时，COFF则为一个ROM镜像文件。<br>    usVersion是COFF文件的版本，ulTextSize是这个可执行COFF的正文段长度，ulInitDataSZ和ulUninitDataSZ分别为已初始化数据段和未初始化数据段的长度。<br>    ulEntry是程序的入口点，也就是COFF载入内存时正文段的位置（EIP寄存器的值），当COFF文件是一个动态库时，入口点也就是动态库的入口函数。<br>    ulTextBase是正文段的基址。<br>    ulDataBase是数据段基址。<br>    其实在这些成员中，只要注意usMagic和ulEntry就可以了。</P>

[此贴子已经被作者于2005-9-17 14:50:44编辑过]

cupidvenus

学习