c++ - 我可以使用 C++ 在 EXE 文件中找到资源的偏移量吗？

Question

我正在编写一个自定义模块来检查 EXE 文件的一致性(这不是这个问题的一部分。)为此我需要知道 EXE 文件中某个资源的偏移量以计算 EXE 的大小我需要检查的文件正文。

我想出了以下代码来获取 strExeFilePath 文件中的 IDR_HTML_DLG 资源的偏移量:

int ncbOffsetInBytes = 0;
HMODULE hModule = LoadLibrary(strExeFilePath);
if(hModule)
{
    HRSRC hRes = ::FindResource(hModule, MAKEINTRESOURCE(IDR_HTML_DLG), RT_HTML);
    if(hRes)
    {
        long szLength = ::SizeofResource(hModule, hRes);
        HGLOBAL hGlobal = ::LoadResource(hModule, hRes);
        if(szLength && hGlobal)
        {
            BYTE* pData = (BYTE*)LockResource(hGlobal);
            DWORD dwLast = (DWORD)(pData + szLength);
            DWORD dwFirst = (DWORD)hModule;

            ncbOffsetInBytes = dwLast - dwFirst;
        }
    }

    ::FreeLibrary(hModule);
    hModule = NULL;
}

但是 ncbOffsetInBytes 中的结果比 EXE 文件本身大。知道如何纠正它吗？

Answer 1

正如@rodrigo 指出的那样，当一个 PE 文件被加载到内存中时，每个相关的部分将被加载到不同的内存部分，每个部分之间有填充，部分的偏移量，以及模块的大小本身，将不同于磁盘上的 PE 文件。有一些关于它如何工作的信息 here .

如我所见，有两种方法可以做你想做的事。你要么需要考虑内存中 PE 的大小，并以此为基础进行计算 - 我相信 SizeOfImage IMAGE_OPTIONAL_HEADER 的成员给出加载到内存中的图像大小。另一种选择是继续使用磁盘上 PE 文件的大小，在这种情况下，您可以将 PE 文件作为数据文件加载到内存中(而不是使用 LoadLibrary)并在其中工作从那里。在这种情况下，如果您需要从文件中检索资源等的偏移量，您可能需要手动解析和爬取 PE 文件结构 - 此结构有一个很好的引用 here .