PE文件格式的用户参考注释： 注释A，注释B。

注释A：
  PE头-->Nt头-->
  OptionalHeader.DataDirectory -->

  const DataDirectoryDescription:Array [0..15] of String=
        (
        '输出表{ Export Directory }',
        '输入表{ Import Directory }',
        '资源目录{ Resource Directory }',
        '异常处理表{ Exception Directory }',
        '安全信息{ Security Directory }',
        '重定位表{ Base Relocation Table }',
        '调试信息表{ Debug Directory } ',
        '描述字符串{ Description String }',                注释A：部分注释，在这个地址，搞个for循环全部读出来，就行了。

        '机器值{ Machine Value (MIPS GP) }',
        '线程局部存储(TLS)区{ TLS Directory }',
        '配置目录{ Load Configuration Directory }',
        '绑定输入表{ Bound Import Directory in headers }',
        '输入地址表{ Import Address Table }',
        '延迟装入信息',
        'COM描述',
        '保留'         ) ;

注释B：
  节表中，通常 rData段的字符串参考：

【字符串识别规则】
1，（Byte）Len+内容。
2，（Word）Len+内容。
3，（DWord）Len+内容。
4，内容。末尾0，截断，无Len指定。

好的我试试哦

[QUOTE=fosom;1191034]PE文件格式的用户参考注释： 注释A，注释B。

注释A：
  PE头-->Nt头-->
  OptionalHeader.DataDirectory -->

  const DataDirectoryDescription:Array [0..15] of String=
  ...[/QUOTE]

另外 被调试的PE 模块基址  怎么获取??????????

给 kx啊，，还有 致谢。

获取模块详细信息：

//枚举 模块列表
procedure CPETool.GetProcessModuleList(ListView : TListView );
var
  hSnapShot:Thandle;
  lphl :TModuleEntry32;
begin
  if ListView =nil then Raise(Exception.Create('未指定信息输出域(TListView)'));
  //初始化标题
  SetListViewAttrib(ListView);
  with ListView.Columns.Add do  begin  Caption :='hModule';       Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='modBaseAddr';   Width:=100;    end;     这里就是模块基地址。
  with ListView.Columns.Add do  begin  Caption :='modBaseSize';   Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='szModule';      Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='szExePath';     Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='th32ModuleID';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='dwSize';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='th32ProcessID';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='GlblcntUsage';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='ProccntUsage';  Width:=100;    end;
  
  hSnapShot:=CreateToolHelp32SnapShot(TH32CS_SNAPMODULE,Self.CurDbgProcessID );
  if hSnapShot=0 then exit;
  lphl.dwSize :=Sizeof(TModuleEntry32);
  if Module32First(hSnapShot,lphl) then
    repeat
      with ListView.Items.Add do
      begin
        Caption :=(IntToHex(lphl.hModule , 8));
        SubItems.Add(IntToHex(DWord (lphl.modBaseAddr) , 8));
        SubItems.Add(IntToHex(lphl.modBaseSize , 8));
        SubItems.Add(lphl.szModule );
        SubItems.Add(lphl.szExePath);
        SubItems.Add(IntToHex(lphl.th32ModuleID,8));
        SubItems.Add(IntToHex(lphl.dwSize , 8));
        SubItems.Add(IntToHex(lphl.th32ProcessID , 8));
        SubItems.Add(IntToHex(lphl.GlblcntUsage , 8));
        SubItems.Add(IntToHex(lphl.ProccntUsage , 8));

        Data :=@lphl;
      end;
    until not Module32Next(hSnapShot,lphl) ;
end;

没问题的啊,你的方法性我会给你和致谢哦

进程中所有模块的PE 中的Description String 都要进行遍历吗?

晕~~，根据需求，过滤。

系统Dll模块当然可以过滤掉的。

Self.CurDbgProcessID ??这个函数是你封装的?

呵呵...是的,你说的很对哦

我自己写的类OD调试工具，当然自己封装了。

我自己写的类OD调试工具，当然自己封装了。

呵呵那被调试进程的PID 如何获取?

//枚举 模块列表
procedure CPETool.GetProcessModuleList(ListView : TListView );
var
  hSnapShot:Thandle;
  lphl :TModuleEntry32;
begin
  if ListView =nil then Raise(Exception.Create('未指定信息输出域(TListView)'));
  //初始化标题
  SetListViewAttrib(ListView);
  with ListView.Columns.Add do  begin  Caption :='hModule';       Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='modBaseAddr';   Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='modBaseSize';   Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='szModule';      Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='szExePath';     Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='th32ModuleID';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='dwSize';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='th32ProcessID';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='GlblcntUsage';  Width:=100;    end;
  with ListView.Columns.Add do  begin  Caption :='ProccntUsage';  Width:=100;    end;
  
  hSnapShot:=CreateToolHelp32SnapShot(TH32CS_SNAPMODULE,Self.CurDbgProcessID );
  if hSnapShot=0 then exit;
  lphl.dwSize :=Sizeof(TModuleEntry32);
  if Module32First(hSnapShot,lphl) then
    repeat
      with ListView.Items.Add do
      begin
        Caption :=(IntToHex(lphl.hModule , 8));
        SubItems.Add(IntToHex(DWord (lphl.modBaseAddr) , 8));
        SubItems.Add(IntToHex(lphl.modBaseSize , 8));
        SubItems.Add(lphl.szModule );
        SubItems.Add(lphl.szExePath);
        SubItems.Add(IntToHex(lphl.th32ModuleID,8));
        SubItems.Add(IntToHex(lphl.dwSize , 8));
        SubItems.Add(IntToHex(lphl.th32ProcessID , 8));
        SubItems.Add(IntToHex(lphl.GlblcntUsage , 8));
        SubItems.Add(IntToHex(lphl.ProccntUsage , 8));

        Data :=@lphl;
      end;
    until not Module32Next(hSnapShot,lphl) ;
end;

上传的附件：

• pe.jpg （75.23kb，6次下载）