PE文件结构 | 逆向 | 节表相关

主要涉及，PE文件的两种状态->文件对齐和内存对齐。

节表由n(在标准PE头中有属性标明数量)个IMAGE_SECTION_HEADER结构体(40bytes)组成：

结构如下：

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME]; //名字(可改)：8bytes的ascii数组
    union {                                //当前节的真实大小是多少（对齐前的大小）
        DWORD   PhysicalAddress;
        DWORD   VirtualSize;
    } Misc;
    DWORD   VirtualAddress;     //在内存中的偏移地址 需要加上ImageBase
    DWORD   SizeOfRawData;        //在文件中对齐后的大小 可能比Misc大或小，涉及到全局变量有没有初始值的问题，谁大取谁
    DWORD   PointerToRawData;    //节区在文件中的偏移
    DWORD   PointerToRelocations;     //调试相关
    DWORD   PointerToLinenumbers;     //调试相关
    WORD    NumberOfRelocations;     //调试相关
    WORD    NumberOfLinenumbers;      //调试相关
    DWORD   Characteristics;            //节的属性-读 写 执行等等
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

over。