windows - 了解对 dll 文件的注册表数据引用的负偏移量

Question

我几乎有了 my last question 的答案，但我需要帮助。

Windows 防火墙规则(Vista 及更高版本)存储在注册表HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules

示例规则:v2.0|Action=Allow|Active=TRUE|Dir=Out|Protocol=6|Profile=Domain|RPort=5722|App=%SystemRoot%\system32\dfsr.exe|Svc =Dfsr|Name=@FirewallAPI.dll,-32257|Desc=@FirewallAPI.dll,-32260|EmbedCtxt=@FirewallAPI.dll,-32252|Edge=FALSE|

我需要解码的字段是EmbedCtxt=@FirewallAPI.dll,-32252

我认为它引用了 C:\WINDOWS\System32\FirewallAPI.dll，但我不知道这个数字是如何工作的。该文件约为 400KB，具体取决于。

我尝试了一些变体，比如假装它是一个无符号的 short，假装它不是负数，假装它从末尾偏移，但是当我到达位置时它们看起来不正确我的十六进制编辑器。

有人可以给我他们的想法吗？这个数字可能意味着什么？我对 DLL 文件几乎一无所知。据我所知，它甚至可能是一个节号。

我也尝试在文本中搜索预期的输出，但它似乎既不是每个字符的字节，也不是 UTF-16，或者我做错了什么。

Answer 1

Raymond 覆盖它 here .正数是资源指数。负数(一旦您删除了减号)是资源标识符。