PE文件解析（四）

发表于 2024-07-21 更新于 2025-03-29 分类于逆向

资源表

资源表的结构相对复杂，采用了类似磁盘目录结构的方式保存，通常目录有3层，第1层目录类似于一个文件系统的根目录，指出了整个资源表中有多少种不同的类型（如光标、菜单、快捷键等）；第2层目录指明了当前类型的资源中，有多少个资源；而第3层目录被称为资源代码页

为了便于理解，先给出一张资源表的树形结构图

资源目录结构

typedef struct _IMAGE_RESOURCE_DIRECTORY {
    DWORD   Characteristics;        //资源属性，但通常为0
    DWORD   TimeDateStamp;          // 资源建立时间
    WORD    MajorVersion;           // 资源的版本，但通常为0
    WORD    MinorVersion;           
    WORD    NumberOfNamedEntries;   // 使用名字的资源条目的个数
    WORD    NumberOfIdEntries;      // 使用ID的资源条目个数
} IMAGE_RESOURCE_DIRECTORY

其中最关键的属性是NumberOfNamedEntries和NumberOfIdEntries，他们指出了本目录种目录项的总和（即资源类型的总个数）

资源目录入口结构

typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY {
    union {
        struct {
            DWORD NameOffset:31;
            DWORD NameIsString:1;
        } DUMMYSTRUCTNAME;
        DWORD   Name;
        WORD    Id;
    } DUMMYUNIONNAME;
    union {
        DWORD   OffsetToData;
        struct {
            DWORD   OffsetToDirectory:31;
            DWORD   DataIsDirectory:1;
        } DUMMYSTRUCTNAME2;
    } DUMMYUNIONNAME2;
} IMAGE_RESOURCE_DIRECTORY_ENTRY

可以看到其中有两个union结构，我们可以简单的理解为，资源目录入口结构包含两个属性Name（ID）、OffsetToData，根据情况的不同，他们有不同的含义

Name（ID）属性：定义了目录项的名称或ID，当最高位（NameIsString）为0时，表示该属性通过ID使用；为1时，表示该属性通过Name使用，且资源名称使用Unicode编码，低31位为Name的Offset，但NameOffset并不直接指向字符串，而是指向一个IMAGE_RESOURCE_DIR_STRING_U结构，该结构如下所示
- 当用于第一层目录时，定义的是资源的类型
- 当用于第二层目录时，定义的是资源的名称
- 当用于第三层目录时，定义的时代码页的编号

typedef struct _IMAGE_RESOURCE_DIR_STRING_U {
    WORD    Length;             // 字符串的长度（不一定以0结尾，所以该属性很重要）
    WCHAR   NameString[ 1 ];    // 具体的Unicode字符串
} IMAGE_RESOURCE_DIR_STRING_U

OffsetToData属性：一个指针，当最高位为1时，低31位指向下一层IMAGE_RESOURCE_DIRECTORY的起始地址；当最高位为0时，指向IMAGE_RESOURCE_DATA_ENTRY结构

当NameOffset和OffsetToData作为Offset使用时，该指针从资源区块的开始处计算偏移，即它们并不是RVA

当IMAGE_RESOURCE_DIRECTORY_ENTRY用在第一层的目录时，其Name（ID）属性用于标记资源类型，而Windows有14种预定义的类型，且用ID标识，ID的数值在1到16之间

ID值	资源类型
01h	光标（Cursor）
02h	位图（Bitmap）
03h	图标（Icon）
04h	菜单（Menu）
05h	对话框（Dialog）
06h	字符串（String）
07h	字体目录（Front Directory）
08h	字体（Front）
09h	快捷键（Accelerators）
0Ah	未格式化资源（Unformatted）
0Bh	消息表（Message Table）
0Ch	光标组（Group Cursor）
0Eh	图标组（Group Icon）
10h	版本信息（Version Information）

资源数据入口结构

typedef struct _IMAGE_RESOURCE_DATA_ENTRY {
    DWORD   OffsetToData;       // 资源数据的RVA
    DWORD   Size;               // 资源数据的长度
    DWORD   CodePage;           // 代码页，一般为0
    DWORD   Reserved;           // 保留字段
} IMAGE_RESOURCE_DATA_ENTRY