我能用C++在EXE文件中找到资源的偏移量吗

Can I find an offset of a resource in an EXE file with C++?

本文关键字：资源 偏移量 文件 C++ EXE      更新时间：2023-10-16

我正在编写一个自定义模块，用于检查EXE文件的一致性（这不是本问题的一部分。）为此，我需要知道EXE文件中某个资源的偏移量，以计算我需要检查的EXE文件体的大小。

我想出了以下代码来获取strExeFilePath文件中IDR_HTML_DLG资源的偏移量：

int ncbOffsetInBytes = 0;
HMODULE hModule = LoadLibrary(strExeFilePath);
if(hModule)
{
    HRSRC hRes = ::FindResource(hModule, MAKEINTRESOURCE(IDR_HTML_DLG), RT_HTML);
    if(hRes)
    {
        long szLength = ::SizeofResource(hModule, hRes);
        HGLOBAL hGlobal = ::LoadResource(hModule, hRes);
        if(szLength && hGlobal)
        {
            BYTE* pData = (BYTE*)LockResource(hGlobal);
            DWORD dwLast = (DWORD)(pData + szLength);
            DWORD dwFirst = (DWORD)hModule;
            ncbOffsetInBytes = dwLast - dwFirst;
        }
    }
    ::FreeLibrary(hModule);
    hModule = NULL;
}

但是ncbOffsetInBytes中的结果比EXE文件本身更大。知道怎么纠正吗？

正如@rodrigo所指出的，当PE文件加载到内存中时，每个相关部分都将加载到不同的内存部分中，每个部分之间都有填充，并且部分的偏移量以及模块本身的大小将与磁盘上的PE文件不同。这里有一些关于这是如何工作的信息。

在我看来，有两种方法可以做你想做的事情。你要么需要考虑内存中PE的大小，并以此为基础进行计算——我相信IMAGE_OPTIONAL_HEADER的SizeOfImage成员给出了加载到内存中的图像大小。另一种选择是继续使用磁盘上PE文件的大小，在这种情况下，您可以将PE文件作为数据文件加载到内存中（而不是使用LoadLibrary），然后从那里开始工作。在这种情况下，如果你需要从文件中检索资源等的偏移量，你可能需要手动解析和抓取PE文件结构——这里有一个很好的参考。

相关文章：