我可以使用 C++ 在 EXE 文件中找到资源的偏移量吗？

Question

我正在编写一个自定义模块来检查 EXE 文件的一致性（这不是这个问题的一部分。）为此，我需要知道 EXE 文件中某个资源的偏移量来计算 EXE 的大小我需要检查的文件正文。

我想出了以下代码来获取IDR_HTML_DLG 资源在strExeFilePath 文件中的偏移量：

int ncbOffsetInBytes = 0;
HMODULE hModule = LoadLibrary(strExeFilePath);
if(hModule)
{
    HRSRC hRes = ::FindResource(hModule, MAKEINTRESOURCE(IDR_HTML_DLG), RT_HTML);
    if(hRes)
    {
        long szLength = ::SizeofResource(hModule, hRes);
        HGLOBAL hGlobal = ::LoadResource(hModule, hRes);
        if(szLength && hGlobal)
        {
            BYTE* pData = (BYTE*)LockResource(hGlobal);
            DWORD dwLast = (DWORD)(pData + szLength);
            DWORD dwFirst = (DWORD)hModule;

            ncbOffsetInBytes = dwLast - dwFirst;
        }
    }

    ::FreeLibrary(hModule);
    hModule = NULL;
}

但ncbOffsetInBytes 中的结果却比 EXE 文件本身大。知道如何纠正吗？

Answer 1

正如@rodrigo 指出的那样，当 PE 文件加载到内存中时，每个相关部分都将加载到不同的内存部分中，每个部分之间都有填充，部分的偏移量以及模块的大小本身，将不同于磁盘上的 PE 文件。有一些关于它是如何工作的信息here。

正如我所见，有两种方法可以做你想做的事情。你要么需要考虑内存中 PE 的大小，然后基于此进行计算 - 我相信 SizeOfImage IMAGE_OPTIONAL_HEADER 的成员给出加载到内存中的图像大小。另一种选择是继续使用磁盘上 PE 文件的大小，在这种情况下，您可以将 PE 文件作为数据文件加载到内存中（而不是使用LoadLibrary）并从那里开始工作。在这种情况下，如果您需要从文件中检索资源的偏移量等，您可能需要手动解析和抓取 PE 文件结构 - 此结构有一个很好的参考 here。