能力值：
( LV9，RANK：780 )
2 楼
我不懂Ｃ，但用易语言写过
能力值：
( LV4，RANK：50 )
3 楼
谢谢楼上大哥帮忙解释.
能力值：
( LV9，RANK：780 )
4 楼
因为 PE 格式里用的都是 RVA，所以要在文件里定位所需信息的位置就困难了。访问 PE 文件时通常需要使用 Win32 内存映射 API 将文件映
能力值：
( LV9，RANK：780 )
5 楼
其实很简单的，我乱写的，希望能看地明白
能力值：
( LV4，RANK：50 )
6 楼
原来还有这样的函数, 真是白费我几天的精力.
能力值：
( LV9，RANK：780 )
7 楼
最初由 Casimodo 发布
这个其实我也没用过，应该是实际地址，可以直接用
其实还有几个更方便：
MapAndLoad()
IMAGEHLP.DLL 还可以替你完成 PE 文件的内存映射。 MapAndLoad() 函数将请求的 PE 文件映射入内存并用该映
射文件的信息填充 LOADED_IMAGE 结构体。
BOOL MapAndLoad(
LPSTR ImageName,
LPSTR DllPath,
PLOADED_IMAGE LoadedImage,
BOOL DotDll,
BOOL ReadOnly
);
参数
ImageName 载入的 PE 文件的文件名。
DllPath 定位文件的路径。若传递 NULL，则搜索 PATH 环境变量中的路径。
LoadedImage 结构体 LOADED_IMAGE 定义在 IMAGEHLP.H file。该结构体有以下成员:
ModuleName 被加载文件的文件名。
hFile 调用 Create文件的到的句柄。
MappedAddress 文件映射到的内存地址。
FileHeader 指向映射文件的 PE header 的指针。
LastRvaSection 函数将此值设为第一个 section (见 ImageRvaToVa)。
NumberOfSections 所加载的 PE 文件中 sections 的数目。
Sections 指向映射文件的第一个 section header。
Characteristics PE 文件的特征(后面详细介绍)。
fSystemImage 指示是否是内核模式驱动/DLL 的标志。
fDOSImage 指示是否是 DOS 可执行文件的标志。
Links 所加载的 images 的列表。
SizeOfImage image 的大小。
加载 PE 文件后函数将这些成员设为正确的值。
DotDll 若需要查找该文件而且没有指定扩展名，则使用 .exe 或 .dll 作扩展名。 若 DotDll 标志设
为TRUE，则使用 .dll 扩展名; 否则用 .exe 扩展名。
ReadOnly 若设为 TRUE，则文件被映射为 read-only。
返回值
若成功，返回 TRUE; 否则返回 FALSE.
UnMapAndLoad()
使用完映射文件后，应该调用 UnMapAndLoad() 函数。 此函数解除 PE 文件的映射并回收由 MapAndLoad() 分配
的资源。
BOOL UnMapAndLoad( PLOADED_IMAGE LoadedImage );
参数
LoadedImage 指向 LOADED_IMAGE 结构体的指针，该指针就是前面调用 MapAndLoad()
函数返回的指针。
返回值
若成功，则返回 TRUE; 否则返回 FALSE.
我是摘自 Undocumented Ｗindows NT 中文版
站上有下载：
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
房间的窗向世界敞开，
微软的窗向世界紧闭，
但在窗棂缝隙间，
透出一线光明。
Warning Undocumented items in the DDK header
files are subject to change or deletion without notice.
――Windows 2000 DDK Documentation
看过此书，即成高手！吾译到兴奋之处不禁拍案。吾对此书之仰慕，由来已久，然苦于国内未见引进，网上亦难觅踪迹。见网络上各方高手所著文章皆引用此书，深知此书之于 Windows NT 不亚于葵花宝典之于武功，对有此书之各路高手亦艳羡不已。然上天终不负我，竟在搜寻另一相关文章时偶得此书。真真个踏破铁鞋无觅处，得来全不费工夫！更令吾深感惭愧之是，书中之部分章节吾之前竟搜到过多次，却因肉眼凡胎，不识真经。如今终获至宝，本应压箱而藏，然吾知定有上进人苦觅此书而不得，决意公之于众。吾决心将书中西洋蛮夷之语译为我大汉文字，一则令我中华文字为此书增辉，二则以利国人师夷长技。遂十有二日手不离键盘，目不离屏幕，整日端坐于电脑前，增批删阅，呕心沥血，终成此译本。
书中涉及处皆是系统核心奥妙之所在，常人皆对此望而却步。内存操作、各类钩挂、系统服务、软件中断等等系统黑客必掌握之绝技，此书皆有论述，且其内容之深入、之实际以往经典中也难得一见。然内容虽深数却不难懂，作者论述深入浅出，稍有难点便细致讲解，更有数处令吾甚感罗嗦，其讲解之到位，可见一斑。更可贵之处在于，此书不仅受人以鱼，更受人以渔。特辟一章专讲反向工程之技巧，其意在鼓励人从此可自立门户，自行探索系统之奥秘。师父领进门，修行在个人，此言不差。有宝典在手，日日勤读善思，不愁大功不成。
学生才疏学浅，为方便国人才敢冒天下之大不韪而译出此书，错漏之处在所难免，望各方师友不吝赐教。译本公开之际，吾甚是兴奋，夜不能寐。为斯文，是以为译序。
董岩
中华人民共和国五十六年
于国立河北大学坤舆园
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
能力值：
( LV8，RANK：130 )
8 楼
The BEST URL on PE header format, version 8:
能力值：
( LV4，RANK：50 )
9 楼
转换问题解决了, 但是......
能力值：
( LV4，RANK：50 )
10 楼
老问题问题已经搞定:
能力值：
( LV9，RANK：780 )
11 楼
.版本 2
能力值：
( LV9，RANK：780 )
12 楼
总结一下:
能力值：
( LV9，RANK：780 )
13 楼
这个是我用易语言写的RVAToOffset子程序
放上来给你参考
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
.子程序 RVAToOffset, 整数型
.参数 RAV, 整数型
.局部变量 i, 整数型
.局部变量 临时整数, 整数型
.变量循环首 (1, IMAGE_NT_HEADERS.FileHeader.NumberOfSections, 1, i)
RtlMoveMemory (IMAGE_SECTION_HEADER, PE地址 ＋ 248 ＋ 40 × (i － 1), 40)
临时整数 ＝ RAV － IMAGE_SECTION_HEADER.VirtualAddress
.如果真 (临时整数 ≥ 0 且 RAV ＜ IMAGE_SECTION_HEADER.VirtualAddress ＋ IMAGE_SECTION_HEADER.VirtualSize)
返回 (IMAGE_SECTION_HEADER.PointerToRawData ＋ 临时整数)
.如果真结束
.变量循环尾 ()
返回 (0)
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
上传的附件：
能力值：
( LV4，RANK：50 )
14 楼
问题完全解决了. 好高兴,呵呵.
能力值：
( LV9，RANK：780 )
15 楼
最初由 Casimodo 发布
助人为乐，我一向都是这样的
看到你的问题解决了，我也很高兴
能力值：
( LV2，RANK：10 )
16 楼
学习ing
能力值：
( LV4，RANK：50 )
17 楼
易语言这东西看了让人有点窝火。。。。。。。
