Formato PE
Esta especificación describe la estructura de archivos ejecutables (imagen) y archivos de objeto en la familia de sistemas operativos Windows. Estos archivos se conocen como archivos Portable Executable (PE) y Common Object File Format (COFF), respectivamente.
Nota:
Este documento se proporciona para ayudar en el desarrollo de herramientas y aplicaciones para Windows, pero no se garantiza que sea una especificación completa en todos los aspectos. Microsoft se reserva el derecho de modificar este documento sin previo aviso.
Esta revisión de microsoft Portable Executable y Common Object File Format Specification reemplaza todas las revisiones anteriores de esta especificación.
Conceptos generales
Este documento especifica la estructura de archivos ejecutables (imagen) y archivos de objeto en la familia de sistemas operativos de Microsoft Windows. Estos archivos se conocen como archivos Portable Executable (PE) y Common Object File Format (COFF), respectivamente. El nombre "Portable Executable" hace referencia al hecho de que el formato no es específico de la arquitectura.
Algunos conceptos que aparecen a lo largo de esta especificación se describen en la tabla siguiente:
Nombre | Descripción |
---|---|
certificado de atributo |
Certificado que se usa para asociar instrucciones verificables a una imagen. Se pueden asociar varias instrucciones verificables diferentes a un archivo; uno de los más útiles es una instrucción de un fabricante de software que indica cuál es el resumen del mensaje de la imagen. Un resumen de mensaje es similar a una suma de comprobación, excepto que es extremadamente difícil de falsificar. Por lo tanto, es muy difícil modificar un archivo para tener el mismo resumen de mensaje que el archivo original. La instrucción se puede comprobar como realizada por el fabricante mediante esquemas de criptografía de clave pública o privada. En este documento se describen los detalles sobre los certificados de atributo distintos de para permitir su inserción en archivos de imagen. |
marca de fecha y hora |
Sello que se usa para diferentes propósitos en varios lugares de un archivo PE o COFF. En la mayoría de los casos, el formato de cada stamp es el mismo que el que usan las funciones de tiempo en la biblioteca en tiempo de ejecución de C. Para ver las excepciones, vea el descripton de IMAGE_DEBUG_TYPE_REPRO en Tipo de depuración. Si el valor del sello es 0 o 0xFFFFFFFF, no representa una marca de fecha y hora real o significativa. |
puntero de archivo |
La ubicación de un elemento dentro del propio archivo, antes de ser procesado por el enlazador (en el caso de los archivos de objeto) o el cargador (en el caso de los archivos de imagen). En otras palabras, se trata de una posición dentro del archivo como se almacena en el disco. |
vinculador |
Referencia al enlazador que se proporciona con Microsoft Visual Studio. |
objeto de archivo |
Archivo que se proporciona como entrada al enlazador. El enlazador genera un archivo de imagen, que a su vez se usa como entrada por el cargador. El término "archivo de objeto" no implica necesariamente ninguna conexión a la programación orientada a objetos. |
reserved, debe ser 0 |
Descripción de un campo que indica que el valor del campo debe ser cero para los generadores y los consumidores deben omitir el campo. |
Dirección virtual relativa (RVA) |
En un archivo de imagen, esta es la dirección de un elemento después de cargarse en la memoria, con la dirección base del archivo de imagen restada de él. La RVA de un elemento casi siempre difiere de su posición dentro del archivo en disco (puntero de archivo). En un archivo de objeto, una RVA es menos significativa porque no se asignan ubicaciones de memoria. En este caso, una RVA sería una dirección dentro de una sección (que se describe más adelante en esta tabla), a la que se aplica una reubicación más adelante durante la vinculación. Para simplificar, un compilador solo debe establecer la primera RVA de cada sección en cero. |
section |
Unidad básica de código o datos dentro de un archivo PE o COFF. Por ejemplo, todo el código de un archivo de objeto se puede combinar dentro de una sola sección o (según el comportamiento del compilador) cada función puede ocupar su propia sección. Con más secciones, hay más sobrecarga de archivos, pero el enlazador puede vincular código de forma más selectiva. Una sección es similar a un segmento en la arquitectura intel 8086. Todos los datos sin procesar de una sección se deben cargar de forma contigua. Además, un archivo de imagen puede contener una serie de secciones, como .tls o .reloc, que tienen fines especiales. |
Dirección virtual (VA) |
Igual que RVA, salvo que no se resta la dirección base del archivo de imagen. La dirección se denomina VA porque Windows crea un espacio va distinto para cada proceso, independientemente de la memoria física. Para casi todos los propósitos, un VA debe considerarse solo una dirección. Un VA no es tan predecible como una RVA porque es posible que el cargador no cargue la imagen en su ubicación preferida. |
Información general
En la lista siguiente se describe el formato ejecutable de Microsoft PE, con la base del encabezado de imagen en la parte superior. La sección del encabezado EXE compatible con MS-DOS 2.0 a través de la sección sin usar justo antes de que el encabezado PE sea la sección MS-DOS 2.0 y solo se usa para la compatibilidad con MS-DOS.
Encabezado EXE compatible con MS-DOS 2.0
unused
Identificador de OEM
Información de OEM
Desplazamiento al encabezado PE
Ms-DOS 2.0 Programa de código auxiliar y tabla de reubicación
unused
Encabezado PE (alineado en límite de 8 bytes)
Encabezados de sección
Páginas de imagen:
importar información
exportar información
reubicaciones base
información de recursos
En la lista siguiente se describe el formato del módulo de objetos COFF de Microsoft:
Encabezado COFF de Microsoft
Encabezados de sección
Datos sin procesar:
código
datos
información de depuración
Reubicaciones
Encabezados de archivo
- Código auxiliar de MS-DOS (solo imagen)
- Firma (solo imagen)
- Encabezado de archivo COFF (objeto e imagen)
- Encabezado opcional (solo imagen)
El encabezado de archivo PE consta de un código auxiliar de Microsoft MS-DOS, la firma PE, el encabezado del archivo COFF y un encabezado opcional. Un encabezado de archivo de objeto COFF consta de un encabezado de archivo COFF y un encabezado opcional. En ambos casos, los encabezados de archivo van seguidos inmediatamente por encabezados de sección.
Código auxiliar de MS-DOS (solo imagen)
El código auxiliar de MS-DOS es una aplicación válida que se ejecuta en MS-DOS. Se coloca en la parte delantera de la imagen EXE. El enlazador coloca un código auxiliar predeterminado aquí, que imprime el mensaje "Este programa no se puede ejecutar en modo DOS" cuando la imagen se ejecuta en MS-DOS. El usuario puede especificar otro código auxiliar mediante la opción del enlazador /STUB.
En la ubicación 0x3c, el código auxiliar tiene el desplazamiento del archivo a la firma PE. Esta información permite a Windows ejecutar correctamente el archivo de imagen, aunque tenga un código auxiliar ms-DOS. Este desplazamiento de archivo se coloca en la ubicación 0x3c durante la vinculación.
Firma (solo imagen)
Después del código auxiliar ms-DOS, en el desplazamiento de archivo especificado en el desplazamiento 0x3c, es una firma de 4 bytes que identifica el archivo como un archivo de imagen de formato PE. Esta firma es "PE\0\0" (las letras "P" y "E" seguidas de dos bytes NULOs).
Encabezado de archivo COFF (objeto e imagen)
Al principio de un archivo de objeto, o inmediatamente después de la firma de un archivo de imagen, es un encabezado de archivo COFF estándar en el formato siguiente. Tenga en cuenta que el cargador de Windows limita el número de secciones a 96.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
2 |
Máquina |
Número que identifica el tipo de máquina de destino. Para obtener más información, consulte Tipos de máquina. |
2 |
2 |
NumberOfSections |
Número de secciones. Esto indica el tamaño de la tabla de la secciones, que sigue inmediatamente a los encabezados. |
4 |
4 |
TimeDateStamp |
Los 32 bits bajos del número de segundos transcurridos desde el 1 de enero de 00:00 (un valor de tiempo de ejecución de C time_t), que indica cuándo se creó el archivo. |
8 |
4 |
PointerToSymbolTable |
Desplazamiento de archivo de la tabla de símbolos COFF o cero si no hay ninguna tabla de símbolos COFF presente. Este valor debe ser cero para una imagen porque la información de depuración de COFF está en desuso. |
12 |
4 |
NumberOfSymbols |
Número de entradas de la tabla de símbolos. Estos datos se pueden usar para buscar la tabla de cadenas, que sigue inmediatamente a la tabla de símbolos. Este valor debe ser cero para una imagen porque la información de depuración de COFF está en desuso. |
16 |
2 |
SizeOfOptionalHeader |
Tamaño del encabezado opcional, que es necesario para los archivos ejecutables, pero no para los archivos de objeto. Este valor debe ser cero para un archivo objeto. Para obtener una descripción del formato de encabezado, vea Encabezado opcional (solo imagen). |
18 |
2 |
Características |
Marcas que indican los atributos del archivo. Para obtener valores de marca específicos, consulte Características. |
Tipos de máquina
El campo Máquina tiene uno de los valores siguientes, que especifican el tipo de CPU. Un archivo de imagen solo se puede ejecutar en el equipo especificado o en un sistema que emula la máquina especificada.
Constante | Value | Descripción |
---|---|---|
IMAGE_FILE_MACHINE_UNKNOWN |
0x0 |
Se supone que el contenido de este campo es aplicable a cualquier tipo de máquina. |
IMAGE_FILE_MACHINE_ALPHA |
0x184 |
Espacio de direcciones alfa AXP, de 32 bits |
IMAGE_FILE_MACHINE_ALPHA64 |
0x284 |
Espacio de direcciones alfa de 64, 64 bits |
IMAGE_FILE_MACHINE_AM33 |
0x1d3 |
Matsushita AM33 |
IMAGE_FILE_MACHINE_AMD64 |
0x8664 |
x64 |
IMAGE_FILE_MACHINE_ARM |
0x1c0 |
ARM little endian |
IMAGE_FILE_MACHINE_ARM64 |
0xaa64 |
ARM64 little endian |
IMAGE_FILE_MACHINE_ARMNT |
0x1c4 |
ARM Thumb-2 little endian |
IMAGE_FILE_MACHINE_AXP64 |
0x284 |
AXP 64 (igual que Alfa 64) |
IMAGE_FILE_MACHINE_EBC |
0xebc |
Código de bytes EFI |
IMAGE_FILE_MACHINE_I386 |
0x14c |
Procesadores Intel 386 o posteriores y procesadores compatibles |
IMAGE_FILE_MACHINE_IA64 |
0x200 |
Familia de procesadores Intel Itanium |
IMAGE_FILE_MACHINE_LOONGARCH32 |
0x6232 |
Familia de procesadores LoongArch de 32 bits |
IMAGE_FILE_MACHINE_LOONGARCH64 |
0x6264 |
Familia de procesadores LoongArch de 64 bits |
IMAGE_FILE_MACHINE_M32R |
0x9041 |
Mitsubishi M32R little endian |
IMAGE_FILE_MACHINE_MIPS16 |
0x266 |
MIPS16 |
IMAGE_FILE_MACHINE_MIPSFPU |
0x366 |
MIPS con FPU |
IMAGE_FILE_MACHINE_MIPSFPU16 |
0x466 |
MIPS16 con FPU |
IMAGE_FILE_MACHINE_POWERPC |
0x1f0 |
Power PC little endian |
IMAGE_FILE_MACHINE_POWERPCFP |
0x1f1 |
Power PC con compatibilidad con punto flotante |
IMAGE_FILE_MACHINE_R4000 |
0x166 |
MIPS little endian |
IMAGE_FILE_MACHINE_RISCV32 |
0x5032 |
Espacio de direcciones de RISC-V de 32 bits |
IMAGE_FILE_MACHINE_RISCV64 |
0x5064 |
Espacio de direcciones de RISC-V de 64 bits |
IMAGE_FILE_MACHINE_RISCV128 |
0x5128 |
Espacio de direcciones de 128 bits de RISC-V |
IMAGE_FILE_MACHINE_SH3 |
0x1a2 |
Hitachi SH3 |
IMAGE_FILE_MACHINE_SH3DSP |
0x1a3 |
Hitachi SH3 DSP |
IMAGE_FILE_MACHINE_SH4 |
0x1a6 |
Hitachi SH4 |
IMAGE_FILE_MACHINE_SH5 |
0x1a8 |
Hitachi SH5 |
IMAGE_FILE_MACHINE_THUMB |
0x1c2 |
Thumb |
IMAGE_FILE_MACHINE_WCEMIPSV2 |
0x169 |
MIPS little-endian WCE v2 |
Características
El campo Características contiene marcas que indican atributos del objeto o archivo de imagen. Actualmente se definen las marcas siguientes:
Marca | Value | Descripción |
---|---|---|
IMAGE_FILE_RELOCS_STRIPPED |
0x0001 |
Solo imagen, Windows CE y Microsoft Windows NT y versiones posteriores. Esto indica que el archivo no contiene reubicaciones base y, por tanto, debe cargarse en su dirección base preferida. Si la dirección base no está disponible, el cargador notifica un error. El comportamiento predeterminado del enlazador es quitar las reubicaciones base de los archivos ejecutables (EXE). |
IMAGE_FILE_EXECUTABLE_IMAGE |
0x0002 |
Solo imagen. Esto indica que el archivo de imagen es válido y se puede ejecutar. Si no se establece esta marca, indica un error del enlazador. |
IMAGE_FILE_LINE_NUMS_STRIPPED |
0x0004 |
Se han quitado los números de línea COFF. Esta marca está en desuso y debe ser cero. |
IMAGE_FILE_LOCAL_SYMS_STRIPPED |
0x0008 |
Se han quitado las entradas de la tabla de símbolos COFF para los símbolos locales. Esta marca está en desuso y debe ser cero. |
IMAGE_FILE_AGGRESSIVE_WS_TRIM |
0x0010 |
Obsoleto. Recorte agresivo del espacio de trabajo. Esta marca está en desuso para Windows 2000 y versiones posteriores y debe ser cero. |
IMAGE_FILE_LARGE_ADDRESS_ AWARE |
0x0020 |
La aplicación puede controlar > direcciones de 2 GB. |
0x0040 |
Esta marca está reservada para su uso futuro. |
|
IMAGE_FILE_BYTES_REVERSED_LO |
0x0080 |
Little endian: el bit menos significativo (LSB) precede al bit más significativo (MSB) en la memoria. Esta marca está en desuso y debe ser cero. |
IMAGE_FILE_32BIT_MACHINE |
0x0100 |
La máquina se basa en una arquitectura de 32 bits. |
IMAGE_FILE_DEBUG_STRIPPED |
0x0200 |
La información de depuración se quita del archivo de imagen. |
IMAGE_FILE_REMOVABLE_RUN_ FROM_SWAP |
0x0400 |
Si la imagen está en medios extraíbles, cárgela completamente y cópiela en el archivo de intercambio. |
IMAGE_FILE_NET_RUN_FROM_SWAP |
0x0800 |
Si la imagen está en medios de red, cárgela completamente y cópiela en el archivo de intercambio. |
IMAGE_FILE_SYSTEM |
0x1000 |
El archivo de imagen es un archivo del sistema, no un programa de usuario. |
IMAGE_FILE_DLL |
0x2000 |
El archivo de imagen es una biblioteca de vínculos dinámicos (DLL). Estos archivos se consideran archivos ejecutables para casi todos los propósitos, aunque no se pueden ejecutar directamente. |
IMAGE_FILE_UP_SYSTEM_ONLY |
0x4000 |
El archivo solo se debe ejecutar en una máquina uniprocesador. |
IMAGE_FILE_BYTES_REVERSED_HI |
0x8000 |
Big endian: el MSB precede al LSB en memoria. Esta marca está en desuso y debe ser cero. |
Encabezado opcional (solo imagen)
Cada archivo de imagen tiene un encabezado opcional que proporciona información al cargador. Este encabezado es opcional en el sentido de que algunos archivos (en concreto, los archivos de objeto) no lo tienen. En el caso de los archivos de imagen, se requiere este encabezado. Un archivo de objeto puede tener un encabezado opcional, pero generalmente este encabezado no tiene ninguna función en un archivo de objeto, excepto para aumentar su tamaño.
Tenga en cuenta que el tamaño del encabezado opcional no es fijo. El campo SizeOfOptionalHeader del encabezado COFF debe usarse para validar que un sondeo en el archivo de un directorio de datos determinado no va más allá de SizeOfOptionalHeader. Para obtener más información, vea Encabezado de archivo COFF (objeto e imagen).
El campo NumberOfRvaAndSizes del encabezado opcional también debe usarse para asegurarse de que ningún sondeo para una entrada de directorio de datos determinada va más allá del encabezado opcional. Además, es importante validar el número mágico de encabezado opcional para la compatibilidad de formato.
El número mágico de encabezado opcional determina si una imagen es un ejecutable PE32 o PE32+.
Número mágico | Formato PE |
---|---|
0x10b |
PE32 |
0x20b |
PE32+ |
Las imágenes PE32+ permiten un espacio de direcciones de 64 bits al limitar el tamaño de la imagen a 2 gigabytes. Otras modificaciones pe32+ se tratan en sus respectivas secciones.
El propio encabezado opcional tiene tres partes principales.
Desplazamiento (PE32/PE32+) | Tamaño (PE32/PE32+) | Elemento de encabezado | Descripción |
---|---|---|---|
0 |
28/24 |
Campos estándar |
Campos definidos para todas las implementaciones de COFF, incluido UNIX. |
28/24 |
68/88 |
Campos específicos de Windows |
Campos adicionales para admitir características específicas de Windows (por ejemplo, subsistemas). |
96/112 |
Variable |
Directorios de datos |
Los pares de dirección y tamaño de las tablas especiales que se encuentran en el archivo de imagen y se usan en el sistema operativo (por ejemplo, la tabla de importación y la tabla de exportación). |
Campos estándar de encabezado opcionales (solo imagen)
Los ocho primeros campos del encabezado opcional son campos estándar que se definen para cada implementación de COFF. Estos campos contienen información general que resulta útil para cargar y ejecutar un archivo ejecutable. No se modifican para el formato PE32+.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
2 |
Instrucción mágica |
Entero sin signo que identifica el estado del archivo de imagen. El número más común es 0x10B, que lo identifica como un archivo ejecutable normal. 0x107 lo identifica como una imagen rom y 0x20B lo identifica como un ejecutable PE32+. |
2 |
1 |
MajorLinkerVersion |
El número de versión principal del enlazador. |
3 |
1 |
MinorLinkerVersion |
El número de versión secundaria del enlazador. |
4 |
4 |
SizeOfCode |
Tamaño de la sección de código (texto) o la suma de todas las secciones de código si hay varias secciones. |
8 |
4 |
SizeOfInitializedData |
El tamaño de la sección de datos inicializados o la suma de todas estas secciones si hay varias secciones de datos. |
12 |
4 |
SizeOfUninitializedData |
Tamaño de la sección de datos sin inicializar (BSS) o la suma de todas estas secciones si hay varias secciones BSS. |
16 |
4 |
AddressOfEntryPoint |
Dirección del punto de entrada relativo a la base de imágenes cuando el archivo ejecutable se carga en la memoria. En el caso de las imágenes de programa, esta es la dirección inicial. En el caso de los controladores de dispositivos, esta es la dirección de la función de inicialización. Un punto de entrada es opcional para los archivos DLL. Cuando no hay ningún punto de entrada presente, este campo debe ser cero. |
20 |
4 |
BaseOfCode |
Dirección relativa a la base de imagen de la sección de principio de código cuando se carga en la memoria. |
PE32 contiene este campo adicional, que no está presente en PE32+, después de BaseOfCode.
Offset | Size | Campo | Descripción |
---|---|---|---|
24 |
4 |
BaseOfData |
Dirección relativa a la base de imágenes de la sección de principio de datos cuando se carga en la memoria. |
Campos de encabezado opcionales Windows-Specific (solo imagen)
Los siguientes 21 campos son una extensión para el formato de encabezado opcional COFF. Contienen información adicional que requiere el enlazador y el cargador en Windows.
Desplazamiento (PE32/ PE32+) | Tamaño (PE32/ PE32+) | Campo | Descripción |
---|---|---|---|
28/24 |
4/8 |
ImageBase |
Dirección preferida del primer byte de la imagen cuando se carga en la memoria; debe ser un múltiplo de 64 K. El valor predeterminado para los archivos DLL es 0x10000000. El valor predeterminado para los EXE de Windows CE es 0x00010000. El valor predeterminado para Windows NT, Windows 2000, Windows XP, Windows 95, Windows 98 y Windows Me es 0x00400000. |
32/32 |
4 |
SectionAlignment |
La alineación (en bytes) de las secciones cuando se cargan en la memoria. Debe ser mayor o igual que FileAlignment. El valor predeterminado es el tamaño de página de la arquitectura. |
36/36 |
4 |
FileAlignment |
El factor de alineación (en bytes) que se usa para alinear los datos sin procesar de las secciones del archivo de imagen. El valor debe ser una potencia de 2 entre 512 y 64 K, ambos inclusive. El valor predeterminado es 512. Si SectionAlignment es menor que el tamaño de página de la arquitectura, FileAlignment debe coincidir con SectionAlignment. |
40/40 |
2 |
MajorOperatingSystemVersion |
El número de versión principal del sistema operativo obligatorio. |
42/42 |
2 |
MinorOperatingSystemVersion |
El número de versión secundaria del sistema operativo obligatorio. |
44/44 |
2 |
MajorImageVersion |
El número de versión principal de la imagen. |
46/46 |
2 |
MinorImageVersion |
El número de versión secundaria de la imagen. |
48/48 |
2 |
MajorSubsystemVersion |
El número de versión principal del subsistema. |
50/50 |
2 |
MinorSubsystemVersion |
El número de versión secundaria del subsistema. |
52/52 |
4 |
Win32VersionValue |
Reservado, debe ser cero. |
56/56 |
4 |
SizeOfImage |
Tamaño (en bytes) de la imagen, incluidos todos los encabezados, a medida que la imagen se carga en memoria. Debe ser un múltiplo de SectionAlignment. |
60/60 |
4 |
SizeOfHeaders |
Tamaño combinado de un código auxiliar ms-DOS, encabezado PE y encabezados de sección redondeados hasta un múltiplo de FileAlignment. |
64/64 |
4 |
Checksum |
Suma de comprobación del archivo de imagen. El algoritmo para calcular la suma de comprobación se incorpora en IMAGHELP.DLL. A continuación se comprueba la validación en tiempo de carga: todos los controladores, cualquier DLL cargado en tiempo de arranque y cualquier DLL que se cargue en un proceso crítico de Windows. |
68/68 |
2 |
Subsystem |
El subsistema necesario para ejecutar esta imagen. Para obtener más información, consulte Subsistema de Windows. |
70/70 |
2 |
DllCharacteristics |
Para obtener más información, consulte Características de DLL más adelante en esta especificación. |
72/72 |
4/8 |
SizeOfStackReserve |
El tamaño de la pila que se va a reservar. Solo Se confirma SizeOfStackCommit; el resto está disponible una página a la vez hasta que se alcanza el tamaño de la reserva. |
76/80 |
4/8 |
SizeOfStackCommit |
El tamaño de la pila que se va a confirmar. |
80/88 |
4/8 |
SizeOfHeapReserve |
El tamaño del espacio de montón local que se va a reservar. Solo se confirma SizeOfHeapCommit; el resto está disponible una página a la vez hasta que se alcanza el tamaño de la reserva. |
84/96 |
4/8 |
SizeOfHeapCommit |
El tamaño del espacio de montón local que se va a confirmar. |
88/104 |
4 |
LoaderFlags |
Reservado, debe ser cero. |
92/108 |
4 |
NumberOfRvaAndSizes |
Número de entradas de directorio de datos en el resto del encabezado opcional. Cada una describe una ubicación y un tamaño. |
Subsistema de Windows
Los siguientes valores definidos para el campo Subsistema del encabezado opcional determinan qué subsistema de Windows (si existe) es necesario para ejecutar la imagen.
Constante | Value | Descripción |
---|---|---|
IMAGE_SUBSYSTEM_UNKNOWN |
0 |
Un subsistema desconocido |
IMAGE_SUBSYSTEM_NATIVE |
1 |
Controladores de dispositivos y procesos nativos de Windows |
IMAGE_SUBSYSTEM_WINDOWS_GUI |
2 |
Subsistema de interfaz gráfica de usuario (GUI) de Windows |
IMAGE_SUBSYSTEM_WINDOWS_CUI |
3 |
Subsistema de caracteres de Windows |
IMAGE_SUBSYSTEM_OS2_CUI |
5 |
Subsistema de caracteres OS/2 |
IMAGE_SUBSYSTEM_POSIX_CUI |
7 |
Subsistema de caracteres Posix |
IMAGE_SUBSYSTEM_NATIVE_WINDOWS |
8 |
Controlador Win9x nativo |
IMAGE_SUBSYSTEM_WINDOWS_CE_GUI |
9 |
Windows CE |
IMAGE_SUBSYSTEM_EFI_APPLICATION |
10 |
Una aplicación de interfaz de firmware extensible (EFI) |
IMAGE_SUBSYSTEM_EFI_BOOT_ SERVICE_DRIVER |
11 |
Un controlador EFI con servicios de arranque |
CONTROLADOR de IMAGE_SUBSYSTEM_EFI_RUNTIME_ |
12 |
Un controlador EFI con servicios en tiempo de ejecución |
IMAGE_SUBSYSTEM_EFI_ROM |
13 |
Una imagen de ROM de EFI |
IMAGE_SUBSYSTEM_XBOX |
14 |
XBOX |
IMAGE_SUBSYSTEM_WINDOWS_BOOT_APPLICATION |
16 |
Aplicación de arranque de Windows. |
Características de DLL
Los valores siguientes se definen para el campo DllCharacteristics del encabezado opcional.
Constante | Value | Descripción |
---|---|---|
0x0001 |
Reservado, debe ser cero. |
|
0x0002 |
Reservado, debe ser cero. |
|
0x0004 |
Reservado, debe ser cero. |
|
0x0008 |
Reservado, debe ser cero. |
|
IMAGE_DLLCHARACTERISTICS_HIGH_ENTROPY_VA |
0x0020 |
La imagen puede controlar un espacio de direcciones virtual de 64 bits de alta entropía. |
IMAGE_DLLCHARACTERISTICS_ DYNAMIC_BASE |
0x0040 |
El archivo DLL se puede reubicar en tiempo de carga. |
IMAGE_DLLCHARACTERISTICS_ FORCE_INTEGRITY |
0x0080 |
Se aplican comprobaciones de integridad de código. |
IMAGE_DLLCHARACTERISTICS_ NX_COMPAT |
0x0100 |
La imagen es compatible con NX. |
IMAGE_DLLCHARACTERISTICS_ NO_ISOLATION |
0x0200 |
Es consciente del aislamiento, pero no aísla la imagen. |
IMAGE_DLLCHARACTERISTICS_ NO_SEH |
0x0400 |
No usa el control de excepciones estructuradas (SE). No se puede llamar a ningún controlador SE en esta imagen. |
IMAGE_DLLCHARACTERISTICS_ NO_BIND |
0x0800 |
No enlace la imagen. |
IMAGE_DLLCHARACTERISTICS_APPCONTAINER |
0x1000 |
La imagen debe ejecutarse en un AppContainer. |
IMAGE_DLLCHARACTERISTICS_ WDM_DRIVER |
0x2000 |
Un controlador WDM. |
IMAGE_DLLCHARACTERISTICS_GUARD_CF |
0x4000 |
La imagen admite Control Flow Guard. |
IMAGE_DLLCHARACTERISTICS_ TERMINAL_SERVER_AWARE |
0x8000 |
Compatible con Terminal Server. |
Directorios de datos de encabezado opcionales (solo imagen)
Cada directorio de datos proporciona la dirección y el tamaño de una tabla o cadena que Usa Windows. Estas entradas de directorio de datos se cargan en memoria para que el sistema pueda usarlas en tiempo de ejecución. Un directorio de datos es un campo de 8 bytes que tiene la siguiente declaración:
typedef struct _IMAGE_DATA_DIRECTORY {
DWORD VirtualAddress;
DWORD Size;
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
El primer campo, VirtualAddress, es realmente la RVA de la tabla. La RVA es la dirección de la tabla relativa a la dirección base de la imagen cuando se carga la tabla. El segundo campo proporciona el tamaño en bytes. Los directorios de datos, que forman la última parte del encabezado opcional, se muestran en la tabla siguiente.
Tenga en cuenta que el número de directorios no es fijo. Antes de buscar un directorio específico, compruebe el campo NumberOfRvaAndSizes en el encabezado opcional.
Además, no supongamos que las RVAs de esta tabla apuntan al principio de una sección o que las secciones que contienen tablas específicas tienen nombres específicos.
Desplazamiento (PE/PE32+) | Size | Campo | Descripción |
---|---|---|---|
96/112 |
8 |
Exportar tabla |
Dirección y tamaño de la tabla de exportación. Para obtener más información, vea sección .edata (solo imagen). |
104/120 |
8 |
Importar tabla |
Dirección y tamaño de la tabla de importación. Para obtener más información, vea la sección .idata. |
112/128 |
8 |
Tabla de recursos |
Dirección y tamaño de la tabla de recursos. Para obtener más información, vea la sección .rsrc. |
120/136 |
8 |
Tabla de excepciones |
Dirección y tamaño de la tabla de excepciones. Para obtener más información, vea la sección .pdata. |
128/144 |
8 |
Tabla de certificados |
Dirección y tamaño de la tabla del certificado de atributo. Para obtener más información, vea La tabla de certificados de atributo (solo imagen). |
136/152 |
8 |
Tabla de reubicación base |
Dirección y tamaño de la tabla de reubicación base. Para obtener más información, vea La sección .reloc (solo imagen). |
144/160 |
8 |
Depuración |
Dirección y tamaño de inicio de datos de depuración. Para obtener más información, vea la sección .debug. |
152/168 |
8 |
Architecture |
Reservado, debe ser 0 |
160/176 |
8 |
Global Ptr |
RVA del valor que se va a almacenar en el registro de puntero global. El miembro de tamaño de esta estructura debe establecerse en cero. |
168/184 |
8 |
Tabla TLS |
Dirección y tamaño de la tabla de almacenamiento local (TLS) del subproceso. Para obtener más información, consulte la sección .tls. |
176/192 |
8 |
Tabla de configuración de carga |
Dirección y tamaño de la tabla de configuración de carga. Para obtener más información, vea La estructura de configuración de carga (solo imagen). |
184/200 |
8 |
Importación enlazada |
Dirección y tamaño de la tabla de importación enlazada. |
192/208 |
8 |
IAT |
Dirección y tamaño de la tabla de direcciones de importación. Para obtener más información, vea Importar tabla de direcciones. |
200/216 |
8 |
Retrasar el descriptor de importación |
La dirección y el tamaño del descriptor de importación retrasado. Para obtener más información, vea Delay-Load Import Tables (Image Only). |
208/224 |
8 |
Encabezado de tiempo de ejecución de CLR |
El tamaño y la dirección del encabezado en tiempo de ejecución de CLR. Para obtener más información, vea La sección .cormeta (solo objeto). |
216/232 |
8 |
Reservado, debe ser cero |
La entrada Tabla de certificados apunta a una tabla de certificados de atributo. Estos certificados no se cargan en la memoria como parte de la imagen. Por lo tanto, el primer campo de esta entrada, que normalmente es una RVA, es un puntero de archivo en su lugar.
Tabla de secciones (encabezados de sección)
Cada fila de la tabla de secciones es, en efecto, un encabezado de sección. Esta tabla sigue inmediatamente el encabezado opcional, si existe. Este posicionamiento es necesario porque el encabezado de archivo no contiene un puntero directo a la tabla de secciones. En su lugar, la ubicación de la tabla de secciones se determina calculando la ubicación del primer byte después de los encabezados. Asegúrese de usar el tamaño del encabezado opcional como se especifica en el encabezado de archivo.
El campo NumberOfSections del encabezado de archivo asigna el número de entradas de la tabla de secciones. Las entradas de la tabla de secciones se numeran a partir de uno (1). Las entradas de sección de memoria de datos y código están en el orden elegido por el enlazador.
En un archivo de imagen, el enlazador debe asignar las máquinas virtuales de las secciones para que estén en orden ascendente y adyacente, y deben ser un múltiplo del valor SectionAlignment en el encabezado opcional.
Cada encabezado de sección (entrada de tabla de sección) tiene el formato siguiente, para un total de 40 bytes por entrada.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
8 |
Nombre |
Cadena con codificación UTF-8 con codificación UTF-8 de 8 bytes. Si la cadena tiene exactamente 8 caracteres, no hay ningún valor NULL de terminación. Para nombres más largos, este campo contiene una barra diagonal (/) seguida de una representación ASCII de un número decimal que es un desplazamiento en la tabla de cadenas. Las imágenes ejecutables no usan una tabla de cadenas y no admiten nombres de sección de más de 8 caracteres. Los nombres largos de los archivos de objeto se truncan si se emiten en un archivo ejecutable. |
8 |
4 |
VirtualSize |
Tamaño total de la sección cuando se carga en la memoria. Si este valor es mayor que SizeOfRawData, la sección se rellena a cero. Este campo solo es válido para imágenes ejecutables y debe establecerse en cero para los archivos de objeto. |
12 |
4 |
VirtualAddress |
En el caso de las imágenes ejecutables, la dirección del primer byte de la sección relativa a la base de imágenes cuando la sección se carga en memoria. Para los archivos de objeto, este campo es la dirección del primer byte antes de aplicar la reubicación; para simplificar, los compiladores deben establecer este valor en cero. De lo contrario, es un valor arbitrario que se resta de los desplazamientos durante la reubicación. |
16 |
4 |
SizeOfRawData |
El tamaño de la sección (para los archivos de objeto) o el tamaño de los datos inicializados en el disco (para archivos de imagen). Para las imágenes ejecutables, debe ser un múltiplo de FileAlignment del encabezado opcional. Si es menor que VirtualSize, el resto de la sección está lleno de cero. Dado que el campo SizeOfRawData se redondea, pero el campo VirtualSize no es, es posible que SizeOfRawData también sea mayor que VirtualSize. Cuando una sección contiene solo datos no inicializados, este campo debe ser cero. |
20 |
4 |
PointerToRawData |
Puntero de archivo a la primera página de la sección dentro del archivo COFF. Para las imágenes ejecutables, debe ser un múltiplo de FileAlignment del encabezado opcional. En el caso de los archivos de objeto, el valor debe alinearse en un límite de 4 bytes para obtener el mejor rendimiento. Cuando una sección contiene solo datos no inicializados, este campo debe ser cero. |
24 |
4 |
PointerToRelocations |
Puntero de archivo al principio de las entradas de reubicación de la sección. Se establece en cero para las imágenes ejecutables o si no hay reubicaciones. |
28 |
4 |
PointerToLinenumbers |
Puntero de archivo al principio de las entradas de número de línea de la sección. Esto se establece en cero si no hay números de línea COFF. Este valor debe ser cero para una imagen porque la información de depuración de COFF está en desuso. |
32 |
2 |
NumberOfRelocations |
Número de entradas de reubicación para la sección. Se establece en cero para las imágenes ejecutables. |
34 |
2 |
NumberOfLinenumbers |
Número de entradas de número de línea para la sección. Este valor debe ser cero para una imagen porque la información de depuración de COFF está en desuso. |
36 |
4 |
Características |
Marcas que describen las características de la sección. Para obtener más información, vea Marcas de sección. |
Marcas de sección
Las marcas de sección del campo Características del encabezado de sección indican características de la sección.
Marca | Value | Descripción |
---|---|---|
0x00000000 |
Reservado para uso futuro. |
|
0x00000001 |
Reservado para uso futuro. |
|
0x00000002 |
Reservado para uso futuro. |
|
0x00000004 |
Reservado para uso futuro. |
|
IMAGE_SCN_TYPE_NO_PAD |
0x00000008 |
La sección no debe rellenarse en el límite siguiente. Esta marca está obsoleta y se reemplaza por IMAGE_SCN_ALIGN_1BYTES. Esto solo es válido para los archivos de objeto. |
0x00000010 |
Reservado para uso futuro. |
|
IMAGE_SCN_CNT_CODE |
0x00000020 |
La sección contiene código ejecutable. |
IMAGE_SCN_CNT_INITIALIZED_DATA |
0x00000040 |
La sección contiene datos inicializados. |
datos de IMAGE_SCN_CNT_UNINITIALIZED_ |
0x00000080 |
La sección contiene datos no inicializados. |
IMAGE_SCN_LNK_OTHER |
0x00000100 |
Reservado para uso futuro. |
IMAGE_SCN_LNK_INFO |
0x00000200 |
La sección contiene comentarios u otra información. La sección .drectve tiene este tipo. Esto solo es válido para los archivos de objeto. |
0x00000400 |
Reservado para uso futuro. |
|
IMAGE_SCN_LNK_REMOVE |
0x00000800 |
La sección no formará parte de la imagen. Esto solo es válido para los archivos de objeto. |
IMAGE_SCN_LNK_COMDAT |
0x00001000 |
La sección contiene datos COMDAT. Para obtener más información, vea Secciones COMDAT (solo objeto). Esto solo es válido para los archivos de objeto. |
IMAGE_SCN_GPREL |
0x00008000 |
La sección contiene datos a los que se hace referencia a través del puntero global (GP). |
IMAGE_SCN_MEM_PURGEABLE |
0x00020000 |
Reservado para uso futuro. |
IMAGE_SCN_MEM_16BIT |
0x00020000 |
Reservado para uso futuro. |
IMAGE_SCN_MEM_LOCKED |
0x00040000 |
Reservado para uso futuro. |
IMAGE_SCN_MEM_PRELOAD |
0x00080000 |
Reservado para uso futuro. |
IMAGE_SCN_ALIGN_1BYTES |
0x00100000 |
Alinee los datos en un límite de 1 byte. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_2BYTES |
0x00200000 |
Alinee los datos en un límite de 2 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_4BYTES |
0x00300000 |
Alinee los datos en un límite de 4 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_8BYTES |
0x00400000 |
Alinee los datos en un límite de 8 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_16BYTES |
0x00500000 |
Alinee los datos en un límite de 16 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_32BYTES |
0x00600000 |
Alinee los datos en un límite de 32 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_64BYTES |
0x00700000 |
Alinee los datos en un límite de 64 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_128BYTES |
0x00800000 |
Alinee los datos en un límite de 128 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_256BYTES |
0x00900000 |
Alinee los datos en un límite de 256 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_512BYTES |
0x00A00000 |
Alinee los datos en un límite de 512 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_1024BYTES |
0x00B00000 |
Alinee los datos en un límite de 1024 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_2048BYTES |
0x00C00000 |
Alinee los datos en un límite de 2048 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_4096BYTES |
0x00D00000 |
Alinee los datos en un límite de 4096 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_ALIGN_8192BYTES |
0x00E00000 |
Alinee los datos en un límite de 8192 bytes. Válido solo para los archivos de objeto. |
IMAGE_SCN_LNK_NRELOC_OVFL |
0x01000000 |
La sección contiene reubicaciones extendidas. |
IMAGE_SCN_MEM_DISCARDABLE |
0x02000000 |
La sección se puede descartar según sea necesario. |
IMAGE_SCN_MEM_NOT_CACHED |
0x04000000 |
La sección no se puede almacenar en caché. |
IMAGE_SCN_MEM_NOT_PAGED |
0x08000000 |
La sección no se puede paginar. |
IMAGE_SCN_MEM_SHARED |
0x10000000 |
La sección se puede compartir en memoria. |
IMAGE_SCN_MEM_EXECUTE |
0x20000000 |
La sección se puede ejecutar como código. |
IMAGE_SCN_MEM_READ |
0x40000000 |
La sección se puede leer. |
IMAGE_SCN_MEM_WRITE |
0x80000000 |
La sección se puede escribir en. |
IMAGE_SCN_LNK_NRELOC_OVFL indica que el recuento de reubicaciones de la sección supera los 16 bits reservados para ella en el encabezado de sección. Si se establece el bit y el campo NumberOfRelocations del encabezado de sección se 0xffff, el recuento de reubicación real se almacena en el campo VirtualAddress de 32 bits de la primera reubicación. Es un error si se establece IMAGE_SCN_LNK_NRELOC_OVFL y hay menos de 0xffff reubicaciones en la sección .
Secciones agrupadas (solo objeto)
¿El "$"? character (signo de dólar) tiene una interpretación especial en los nombres de sección de los archivos de objeto.
Al determinar la sección de imagen que contendrá el contenido de una sección de objeto, el enlazador descarta "$"? y todos los caracteres que lo siguen. Por lo tanto, una sección de objeto denominada . text$X contribuye realmente a la sección .text de la imagen.
Sin embargo, ¿los caracteres que siguen a "$"? determine el orden de las contribuciones a la sección de imagen. Todas las contribuciones con el mismo nombre de sección de objeto se asignan contiguamente en la imagen y los bloques de contribuciones se ordenan en orden léxico por nombre de sección de objeto. Por lo tanto, todo en los archivos de objeto con el nombre de sección .text$X termina juntos, después de las contribuciones .text$W y antes de las contribuciones .text$Y .
¿El nombre de sección de un archivo de imagen nunca contiene "$"? .
Otro contenido del archivo
- Datos de sección
- Reubicaciones de COFF (solo objeto)
- Números de línea COFF (en desuso)
- Tabla de símbolos COFF
- Registros de símbolos auxiliares
- Tabla de cadenas COFF
- Tabla de certificados de atributo (solo imagen)
- Tablas de importación de carga diferda (solo imagen)
- Tabla de directorios de Delay-Load
- Atributos
- Nombre
- Identificador de módulo
- Tabla de direcciones de importación retrasada
- Tabla de nombres de importación retrasada
- Retrasar la tabla de direcciones de importación enlazadas y la marca de tiempo
- Retrasar la descarga de la tabla de direcciones de importación
Las estructuras de datos que se han descrito hasta ahora, hasta el encabezado opcional, se encuentran en un desplazamiento fijo desde el principio del archivo (o desde el encabezado PE si el archivo es una imagen que contiene un código auxiliar ms-DOS).
El resto de un archivo de imagen o objeto COFF contiene bloques de datos que no están necesariamente en ningún desplazamiento de archivo específico. En su lugar, las ubicaciones se definen mediante punteros en el encabezado opcional o un encabezado de sección.
Una excepción es para las imágenes con un valor SectionAlignment de menor que el tamaño de página de la arquitectura (4 K para Intel x86 y para MIPS y 8 K para Itanium). Para obtener una descripción de SectionAlignment, vea Encabezado opcional (solo imagen). En este caso, hay restricciones en el desplazamiento del archivo de los datos de sección, como se describe en la sección 5.1, "Datos de sección". Otra excepción es que el certificado de atributo y la información de depuración deben colocarse al final de un archivo de imagen, con la tabla de certificados de atributo inmediatamente anterior a la sección de depuración, porque el cargador no los asigna a la memoria. Sin embargo, la regla sobre el certificado de atributo y la información de depuración no se aplica a los archivos de objeto.
Datos de sección
Los datos inicializados de una sección constan de bloques simples de bytes. Sin embargo, para las secciones que contienen todos los ceros, no es necesario incluir los datos de sección.
Los datos de cada sección se encuentran en el desplazamiento de archivo proporcionado por el campo PointerToRawData en el encabezado de sección. El tamaño de estos datos en el archivo se indica mediante el campo SizeOfRawData. Si SizeOfRawData es menor que VirtualSize, el resto se rellena con ceros.
En un archivo de imagen, los datos de sección deben alinearse en un límite según lo especificado por el campo FileAlignment en el encabezado opcional. Los datos de sección deben aparecer en orden de los valores de RVA para las secciones correspondientes (al igual que los encabezados de sección individuales de la tabla de secciones).
Hay restricciones adicionales en los archivos de imagen si el valor SectionAlignment del encabezado opcional es menor que el tamaño de página de la arquitectura. Para estos archivos, la ubicación de los datos de sección del archivo debe coincidir con su ubicación en la memoria cuando se carga la imagen, de modo que el desplazamiento físico de los datos de sección sea el mismo que el RVA.
Reubicaciones de COFF (solo objeto)
Los archivos de objeto contienen reubicaciones de COFF, que especifican cómo se deben modificar los datos de sección cuando se colocan en el archivo de imagen y posteriormente se cargan en la memoria.
Los archivos de imagen no contienen reubicaciones de COFF, ya que todos los símbolos a los que se hace referencia ya se han asignado direcciones en un espacio de direcciones planas. Una imagen contiene información de reubicación en forma de reubicaciones base en la sección .reloc (a menos que la imagen tenga el atributo IMAGE_FILE_RELOCS_STRIPPED). Para obtener más información, vea La sección .reloc (solo imagen).
Para cada sección de un archivo de objeto, una matriz de registros de longitud fija contiene las reubicaciones de COFF de la sección. La posición y la longitud de la matriz se especifican en el encabezado de sección. Cada elemento de la matriz tiene el formato siguiente.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
VirtualAddress |
Dirección del elemento al que se aplica la reubicación. Este es el desplazamiento desde el principio de la sección, además del valor del campo RVA/Offset de la sección. Vea Tabla de secciones (encabezados de sección). Por ejemplo, si el primer byte de la sección tiene una dirección de 0x10, el tercer byte tiene una dirección de 0x12. |
4 |
4 |
SymbolTableIndex |
Índice de base cero en la tabla de símbolos. Este símbolo proporciona la dirección que se va a usar para la reubicación. Si el símbolo especificado tiene una clase de almacenamiento de sección, la dirección del símbolo es la dirección con la primera sección del mismo nombre. |
8 |
2 |
Tipo |
Valor que indica el tipo de reubicación que se debe realizar. Los tipos de reubicación válidos dependen del tipo de equipo. Consulte Indicadores de tipo. |
Si el símbolo al que hace referencia el campo SymbolTableIndex tiene la clase de almacenamiento IMAGE_SYM_CLASS_SECTION, la dirección del símbolo es el principio de la sección. La sección suele estar en el mismo archivo, excepto cuando el archivo de objeto forma parte de un archivo (biblioteca). En ese caso, la sección se puede encontrar en cualquier otro archivo de objeto del archivo que tenga el mismo nombre de miembro de archivo que el archivo de objeto actual. (La relación con el nombre de miembro de archivo se usa en la vinculación de tablas de importación, es decir, la sección .idata).
Indicadores de tipo
El campo Tipo del registro de reubicación indica qué tipo de reubicación se debe realizar. Se definen diferentes tipos de reubicación para cada tipo de máquina.
Procesadores x64
Los siguientes indicadores de tipo de reubicación se definen para procesadores x64 y compatibles.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_AMD64_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_AMD64_ADDR64 |
0x0001 |
Va de 64 bits del destino de reubicación. |
IMAGE_REL_AMD64_ADDR32 |
0x0002 |
Va de 32 bits del destino de reubicación. |
IMAGE_REL_AMD64_ADDR32NB |
0x0003 |
Dirección de 32 bits sin una base de imagen (RVA). |
IMAGE_REL_AMD64_REL32 |
0x0004 |
Dirección relativa de 32 bits del byte después de la reubicación. |
IMAGE_REL_AMD64_REL32_1 |
0x0005 |
Dirección de 32 bits relativa a la distancia de bytes 1 desde la reubicación. |
IMAGE_REL_AMD64_REL32_2 |
0x0006 |
Dirección de 32 bits relativa a la distancia de bytes 2 desde la reubicación. |
IMAGE_REL_AMD64_REL32_3 |
0x0007 |
Dirección de 32 bits relativa a la distancia de bytes 3 desde la reubicación. |
IMAGE_REL_AMD64_REL32_4 |
0x0008 |
Dirección de 32 bits relativa a la distancia de bytes 4 desde la reubicación. |
IMAGE_REL_AMD64_REL32_5 |
0x0009 |
Dirección de 32 bits relativa a la distancia de bytes 5 desde la reubicación. |
IMAGE_REL_AMD64_SECTION |
0x000A |
Índice de sección de 16 bits de la sección que contiene el destino. Esto se usa para admitir la información de depuración. |
IMAGE_REL_AMD64_SECREL |
0x000B |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_AMD64_SECREL7 |
0x000C |
Desplazamiento sin signo de 7 bits desde la base de la sección que contiene el destino. |
IMAGE_REL_AMD64_TOKEN |
0x000D |
Tokens CLR. |
IMAGE_REL_AMD64_SREL32 |
0x000E |
Valor dependiente del intervalo de 32 bits firmado emitido en el objeto . |
IMAGE_REL_AMD64_PAIR |
0x000F |
Un par que debe seguir inmediatamente cada valor dependiente del intervalo. |
IMAGE_REL_AMD64_SSPAN32 |
0x0010 |
Valor dependiente del intervalo de 32 bits con signo que se aplica en tiempo de vínculo. |
Procesadores ARM
Los siguientes indicadores de tipo de reubicación se definen para los procesadores ARM.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_ARM_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_ARM_ADDR32 |
0x0001 |
Va de 32 bits del destino. |
IMAGE_REL_ARM_ADDR32NB |
0x0002 |
RVA de 32 bits del destino. |
IMAGE_REL_ARM_BRANCH24 |
0x0003 |
Desplazamiento relativo de 24 bits al destino. |
IMAGE_REL_ARM_BRANCH11 |
0x0004 |
Referencia a una llamada subrutina. La referencia consta de dos instrucciones de 16 bits con desplazamientos de 11 bits. |
IMAGE_REL_ARM_REL32 |
0x000A |
Dirección relativa de 32 bits del byte después de la reubicación. |
IMAGE_REL_ARM_SECTION |
0x000E |
Índice de sección de 16 bits de la sección que contiene el destino. Esto se usa para admitir la información de depuración. |
IMAGE_REL_ARM_SECREL |
0x000F |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_ARM_MOV32 |
0x0010 |
Va de 32 bits del destino. Esta reubicación se aplica mediante una instrucción MOVW para los 16 bits bajos seguidos de un MOVT para los 16 bits altos. |
IMAGE_REL_THUMB_MOV32 |
0x0011 |
Va de 32 bits del destino. Esta reubicación se aplica mediante una instrucción MOVW para los 16 bits bajos seguidos de un MOVT para los 16 bits altos. |
IMAGE_REL_THUMB_BRANCH20 |
0x0012 |
La instrucción se ha corregido con el desplazamiento relativo de 21 bits al destino alineado de 2 bytes. El bit menos significativo del desplazamiento es siempre cero y no se almacena. Esta reubicación corresponde a una instrucción B condicional thumb-2 de 32 bits. |
No utilizado |
0x0013 |
|
IMAGE_REL_THUMB_BRANCH24 |
0x0014 |
La instrucción se fija con el desplazamiento relativo de 25 bits al destino alineado de 2 bytes. El bit menos significativo del desplazamiento es cero y no se almacena. Esta reubicación corresponde a una instrucción Thumb-2 B. |
IMAGE_REL_THUMB_BLX23 |
0x0015 |
La instrucción se fija con el desplazamiento relativo de 25 bits al destino alineado de 4 bytes. Los 2 bits bajos del desplazamiento son cero y no se almacenan. Esta reubicación corresponde a una instrucción BLX Thumb-2. |
IMAGE_REL_ARM_PAIR |
0x0016 |
La reubicación solo es válida cuando sigue inmediatamente un ARM_REFHI o THUMB_REFHI. Su SymbolTableIndex contiene un desplazamiento y no un índice en la tabla de símbolos. |
Procesadores ARM64
Los siguientes indicadores de tipo de reubicación se definen para los procesadores ARM64.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_ARM64_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_ARM64_ADDR32 |
0x0001 |
Va de 32 bits del destino. |
IMAGE_REL_ARM64_ADDR32NB |
0x0002 |
RVA de 32 bits del destino. |
IMAGE_REL_ARM64_BRANCH26 |
0x0003 |
Desplazamiento relativo de 26 bits al destino, para instrucciones B y BL. |
IMAGE_REL_ARM64_PAGEBASE_REL21 |
0x0004 |
Base de página del destino, para la instrucción ADRP. |
IMAGE_REL_ARM64_REL21 |
0x0005 |
Desplazamiento relativo de 12 bits al destino, para la instrucción ADR |
IMAGE_REL_ARM64_PAGEOFFSET_12A |
0x0006 |
Desplazamiento de página de 12 bits del destino, para obtener instrucciones ADD/ADDS (inmediato) con desplazamiento cero. |
IMAGE_REL_ARM64_PAGEOFFSET_12L |
0x0007 |
Desplazamiento de página de 12 bits del destino, para la instrucción LDR (indizada, sin signo inmediato). |
IMAGE_REL_ARM64_SECREL |
0x0008 |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_ARM64_SECREL_LOW12A |
0x0009 |
Bit 0:11 de desplazamiento de sección del destino, para obtener instrucciones ADD/ADDS (inmediato) con desplazamiento cero. |
IMAGE_REL_ARM64_SECREL_HIGH12A |
0x000A |
Bit 12:23 de desplazamiento de sección del destino, para obtener instrucciones ADD/ADDS (inmediato) con desplazamiento cero. |
IMAGE_REL_ARM64_SECREL_LOW12L |
0x000B |
Bit 0:11 de desplazamiento de sección del destino, para la instrucción LDR (indizada, sin signo inmediato). |
IMAGE_REL_ARM64_TOKEN |
0x000C |
Token clR. |
IMAGE_REL_ARM64_SECTION |
0x000D |
Índice de sección de 16 bits de la sección que contiene el destino. Esto se usa para admitir la información de depuración. |
IMAGE_REL_ARM64_ADDR64 |
0x000E |
Va de 64 bits del destino de reubicación. |
IMAGE_REL_ARM64_BRANCH19 |
0x000F |
Desplazamiento de 19 bits al destino de reubicación, para la instrucción B condicional. |
IMAGE_REL_ARM64_BRANCH14 |
0x0010 |
Desplazamiento de 14 bits al destino de reubicación, para obtener instrucciones TBZ y TBNZ. |
IMAGE_REL_ARM64_REL32 |
0x0011 |
Dirección relativa de 32 bits del byte después de la reubicación. |
Procesadores Hitachi SuperH
Los siguientes indicadores de tipo de reubicación se definen para los procesadores SH3 y SH4. Las reubicaciones específicas de SH5 se indican como SHM (SH Media).
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_SH3_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_SH3_DIRECT16 |
0x0001 |
Referencia a la ubicación de 16 bits que contiene el VA del símbolo de destino. |
IMAGE_REL_SH3_DIRECT32 |
0x0002 |
Va de 32 bits del símbolo de destino. |
IMAGE_REL_SH3_DIRECT8 |
0x0003 |
Referencia a la ubicación de 8 bits que contiene el VA del símbolo de destino. |
IMAGE_REL_SH3_DIRECT8_WORD |
0x0004 |
Referencia a la instrucción de 8 bits que contiene el VA de 16 bits efectivo del símbolo de destino. |
IMAGE_REL_SH3_DIRECT8_LONG |
0x0005 |
Referencia a la instrucción de 8 bits que contiene el VA de 32 bits efectivo del símbolo de destino. |
IMAGE_REL_SH3_DIRECT4 |
0x0006 |
Referencia a la ubicación de 8 bits cuyos 4 bits bajos contienen el VA del símbolo de destino. |
IMAGE_REL_SH3_DIRECT4_WORD |
0x0007 |
Referencia a la instrucción de 8 bits cuyos 4 bits bajos contienen el VA de 16 bits efectivo del símbolo de destino. |
IMAGE_REL_SH3_DIRECT4_LONG |
0x0008 |
Referencia a la instrucción de 8 bits cuyos 4 bits bajos contienen el VA de 32 bits efectivo del símbolo de destino. |
IMAGE_REL_SH3_PCREL8_WORD |
0x0009 |
Referencia a la instrucción de 8 bits que contiene el desplazamiento relativo efectivo de 16 bits del símbolo de destino. |
IMAGE_REL_SH3_PCREL8_LONG |
0x000A |
Referencia a la instrucción de 8 bits que contiene el desplazamiento relativo efectivo de 32 bits del símbolo de destino. |
IMAGE_REL_SH3_PCREL12_WORD |
0x000B |
Referencia a la instrucción de 16 bits cuyos 12 bits bajos contienen el desplazamiento relativo efectivo de 16 bits del símbolo de destino. |
IMAGE_REL_SH3_STARTOF_SECTION |
0x000C |
Referencia a una ubicación de 32 bits que es el VA de la sección que contiene el símbolo de destino. |
IMAGE_REL_SH3_SIZEOF_SECTION |
0x000D |
Referencia a la ubicación de 32 bits que es el tamaño de la sección que contiene el símbolo de destino. |
IMAGE_REL_SH3_SECTION |
0x000E |
Índice de sección de 16 bits de la sección que contiene el destino. Se usa para admitir información de depuración. |
IMAGE_REL_SH3_SECREL |
0x000F |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_SH3_DIRECT32_NB |
0x0010 |
RVA de 32 bits del símbolo de destino. |
IMAGE_REL_SH3_GPREL4_LONG |
0x0011 |
Gp relativo. |
IMAGE_REL_SH3_TOKEN |
0x0012 |
Token clR. |
IMAGE_REL_SHM_PCRELPT |
0x0013 |
Desplazamiento de la instrucción actual en palabras largas. Si no se establece el bit NOMODE, inserte el inverso del bit bajo en el bit 32 para seleccionar PTA o PTB. |
IMAGE_REL_SHM_REFLO |
0x0014 |
Los 16 bits bajos de la dirección de 32 bits. |
IMAGE_REL_SHM_REFHALF |
0x0015 |
Los 16 bits altos de la dirección de 32 bits. |
IMAGE_REL_SHM_RELLO |
0x0016 |
Los 16 bits bajos de la dirección relativa. |
IMAGE_REL_SHM_RELHALF |
0x0017 |
Los 16 bits altos de la dirección relativa. |
IMAGE_REL_SHM_PAIR |
0x0018 |
La reubicación solo es válida cuando inmediatamente sigue una reubicación REFHALF, RELHALF o RELLO. El campo SymbolTableIndex de la reubicación contiene un desplazamiento y no un índice en la tabla de símbolos. |
IMAGE_REL_SHM_NOMODE |
0x8000 |
La reubicación omite el modo de sección. |
Procesadores POWERPC de IBM
Los siguientes indicadores de tipo de reubicación se definen para procesadores PowerPC.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_PPC_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_PPC_ADDR64 |
0x0001 |
Va de 64 bits del destino. |
IMAGE_REL_PPC_ADDR32 |
0x0002 |
Va de 32 bits del destino. |
IMAGE_REL_PPC_ADDR24 |
0x0003 |
Los 24 bits bajos del VA del destino. Esto solo es válido cuando el símbolo de destino es absoluto y se puede extender el signo a su valor original. |
IMAGE_REL_PPC_ADDR16 |
0x0004 |
Los 16 bits bajos del VA del destino. |
IMAGE_REL_PPC_ADDR14 |
0x0005 |
Los 14 bits bajos del VA del destino. Esto solo es válido cuando el símbolo de destino es absoluto y se puede extender el signo a su valor original. |
IMAGE_REL_PPC_REL24 |
0x0006 |
Desplazamiento relativo de PC de 24 bits a la ubicación del símbolo. |
IMAGE_REL_PPC_REL14 |
0x0007 |
Desplazamiento relativo de PC de 14 bits a la ubicación del símbolo. |
IMAGE_REL_PPC_ADDR32NB |
0x000A |
RVA de 32 bits del destino. |
IMAGE_REL_PPC_SECREL |
0x000B |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_PPC_SECTION |
0x000C |
Índice de sección de 16 bits de la sección que contiene el destino. Se usa para admitir información de depuración. |
IMAGE_REL_PPC_SECREL16 |
0x000F |
Desplazamiento de 16 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_PPC_REFHI |
0x0010 |
Los 16 bits altos del VA de 32 bits del destino. Se usa para la primera instrucción de una secuencia de dos instrucciones que carga una dirección completa. Esta reubicación debe ir seguida inmediatamente de una reubicación PAIR cuya SymbolTableIndex contiene un desplazamiento de 16 bits con signo que se agrega a los 16 bits superiores que se tomaron de la ubicación que se está reubicando. |
IMAGE_REL_PPC_REFLO |
0x0011 |
Los 16 bits bajos del VA del destino. |
IMAGE_REL_PPC_PAIR |
0x0012 |
Reubicación válida solo cuando sigue inmediatamente una reubicación REFHI o SECRELHI. Su SymbolTableIndex contiene un desplazamiento y no un índice en la tabla de símbolos. |
IMAGE_REL_PPC_SECRELLO |
0x0013 |
Los 16 bits bajos del desplazamiento de 32 bits del destino desde el principio de su sección. |
IMAGE_REL_PPC_GPREL |
0x0015 |
Desplazamiento con signo de 16 bits del destino en relación con el registro gp. |
IMAGE_REL_PPC_TOKEN |
0x0016 |
Token CLR. |
Procesadores Intel 386
Los siguientes indicadores de tipo de reubicación se definen para procesadores Intel 386 y compatibles.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_I386_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_I386_DIR16 |
0x0001 |
No compatible. |
IMAGE_REL_I386_REL16 |
0x0002 |
No compatible. |
IMAGE_REL_I386_DIR32 |
0x0006 |
Va de 32 bits del destino. |
IMAGE_REL_I386_DIR32NB |
0x0007 |
RVA de 32 bits del destino. |
IMAGE_REL_I386_SEG12 |
0x0009 |
No compatible. |
IMAGE_REL_I386_SECTION |
0x000A |
Índice de sección de 16 bits de la sección que contiene el destino. Se usa para admitir información de depuración. |
IMAGE_REL_I386_SECREL |
0x000B |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_I386_TOKEN |
0x000C |
Token CLR. |
IMAGE_REL_I386_SECREL7 |
0x000D |
Desplazamiento de 7 bits desde la base de la sección que contiene el destino. |
IMAGE_REL_I386_REL32 |
0x0014 |
Desplazamiento relativo de 32 bits al destino. Esto admite la rama relativa x86 y las instrucciones de llamada. |
Familia de procesadores Intel Itanium (IPF)
Los siguientes indicadores de tipo de reubicación se definen para la familia de procesadores Intel Itanium y los procesadores compatibles. Tenga en cuenta que las reubicaciones en las instrucciones usan el desplazamiento del conjunto y el número de ranura para el desplazamiento de reubicación.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_IA64_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_IA64_IMM14 |
0x0001 |
La reubicación de instrucciones puede ir seguida de una reubicación ADDEND cuyo valor se agrega a la dirección de destino antes de insertarla en la ranura especificada del lote IMM14. El destino de reubicación debe ser absoluto o la imagen debe ser fija. |
IMAGE_REL_IA64_IMM22 |
0x0002 |
La reubicación de instrucciones puede ir seguida de una reubicación ADDEND cuyo valor se agrega a la dirección de destino antes de insertarla en la ranura especificada en el lote IMM22. El destino de reubicación debe ser absoluto o la imagen debe ser fija. |
IMAGE_REL_IA64_IMM64 |
0x0003 |
El número de ranura de esta reubicación debe ser uno (1). La reubicación puede ir seguida de una reubicación ADDEND cuyo valor se agrega a la dirección de destino antes de almacenarse en las tres ranuras del lote IMM64. |
IMAGE_REL_IA64_DIR32 |
0x0004 |
Va de 32 bits del destino. Esto solo se admite para imágenes /LARGEADDRESSAWARE:NO. |
IMAGE_REL_IA64_DIR64 |
0x0005 |
Va de 64 bits del destino. |
IMAGE_REL_IA64_PCREL21B |
0x0006 |
La instrucción se ha corregido con el desplazamiento relativo de 25 bits al destino alineado de 16 bits. Los 4 bits bajos del desplazamiento son cero y no se almacenan. |
IMAGE_REL_IA64_PCREL21M |
0x0007 |
La instrucción se ha corregido con el desplazamiento relativo de 25 bits al destino alineado de 16 bits. Los 4 bits bajos del desplazamiento, que son cero, no se almacenan. |
IMAGE_REL_IA64_PCREL21F |
0x0008 |
Los LSB del desplazamiento de esta reubicación deben contener el número de ranura, mientras que el resto es la dirección del lote. La agrupación se ha corregido con el desplazamiento relativo de 25 bits al destino alineado de 16 bits. Los 4 bits bajos del desplazamiento son cero y no se almacenan. |
IMAGE_REL_IA64_GPREL22 |
0x0009 |
La reubicación de instrucciones puede ir seguida de una reubicación ADDEND cuyo valor se agrega a la dirección de destino y, a continuación, un desplazamiento relativo de GP de 22 bits que se calcula y se aplica al lote GPREL22. |
IMAGE_REL_IA64_LTOFF22 |
0x000A |
La instrucción se ha corregido con el desplazamiento relativo de GP de 22 bits a la entrada de tabla literal del símbolo de destino. El enlazador crea esta entrada de tabla literal basada en esta reubicación y la reubicación ADDEND que puede seguir. |
IMAGE_REL_IA64_SECTION |
0x000B |
El índice de sección de 16 bits de la sección contiene el destino. Esto se usa para admitir la información de depuración. |
IMAGE_REL_IA64_SECREL22 |
0x000C |
La instrucción se ha corregido con el desplazamiento de 22 bits del destino desde el principio de su sección. Esta reubicación puede ser seguida inmediatamente por una reubicación ADDEND, cuyo campo Valor contiene el desplazamiento sin signo de 32 bits del destino desde el principio de la sección. |
IMAGE_REL_IA64_SECREL64I |
0x000D |
El número de ranura para esta reubicación debe ser uno (1). La instrucción se ha corregido con el desplazamiento de 64 bits del destino desde el principio de su sección. Esta reubicación puede ser seguida inmediatamente por una reubicación ADDEND cuyo campo Valor contiene el desplazamiento sin signo de 32 bits del destino desde el principio de la sección. |
IMAGE_REL_IA64_SECREL32 |
0x000E |
Dirección de los datos que se van a corregir con el desplazamiento de 32 bits del destino desde el principio de su sección. |
IMAGE_REL_IA64_DIR32NB |
0x0010 |
RVA de 32 bits del destino. |
IMAGE_REL_IA64_SREL14 |
0x0011 |
Esto se aplica a un inmediato de 14 bits con signo que contiene la diferencia entre dos destinos reasignables. Se trata de un campo declarativo para el enlazador que indica que el compilador ya ha emitido este valor. |
IMAGE_REL_IA64_SREL22 |
0x0012 |
Esto se aplica a un inmediato de 22 bits con signo que contiene la diferencia entre dos destinos reasignables. Se trata de un campo declarativo para el enlazador que indica que el compilador ya ha emitido este valor. |
IMAGE_REL_IA64_SREL32 |
0x0013 |
Esto se aplica a un inmediato de 32 bits con signo que contiene la diferencia entre dos valores reasignables. Se trata de un campo declarativo para el enlazador que indica que el compilador ya ha emitido este valor. |
IMAGE_REL_IA64_UREL32 |
0x0014 |
Esto se aplica a un inmediato de 32 bits sin signo que contiene la diferencia entre dos valores que se pueden reasignar. Se trata de un campo declarativo para el enlazador que indica que el compilador ya ha emitido este valor. |
IMAGE_REL_IA64_PCREL60X |
0x0015 |
Una corrección relativa a PC de 60 bits que siempre permanece como una instrucción BRL de una agrupación MLX. |
IMAGE_REL_IA64_PCREL60B |
0x0016 |
Corrección relativa a PC de 60 bits. Si el desplazamiento de destino encaja en un campo de 25 bits con signo, convierta todo el lote en un lote de MBB con NOP. B en la ranura 1 y una instrucción BR de 25 bits (con los 4 bits más bajos todos cero y descartados) en la ranura 2. |
IMAGE_REL_IA64_PCREL60F |
0x0017 |
Corrección relativa a PC de 60 bits. Si el desplazamiento de destino se ajusta a un campo de 25 bits firmado, convierta todo el lote en un lote MFB con NOP. F en la ranura 1 y una instrucción BR de 25 bits (4 bits más bajos todos cero y descartadas) en la ranura 2. |
IMAGE_REL_IA64_PCREL60I |
0x0018 |
Corrección relativa a PC de 60 bits. Si el desplazamiento de destino cabe en un campo de 25 bits con signo, convierta todo el lote en un lote MIB con NOP. I en la ranura 1 y una instrucción BR de 25 bits (4 bits más bajos todos cero y eliminado) br en la ranura 2. |
IMAGE_REL_IA64_PCREL60M |
0x0019 |
Corrección relativa a PC de 60 bits. Si el desplazamiento de destino se ajusta a un campo de 25 bits con signo, convierta toda la agrupación en un lote de MMB con NOP. M en la ranura 1 y una instrucción BR de 25 bits (4 bits más bajos todos cero y descartadas) br en la ranura 2. |
IMAGE_REL_IA64_IMMGPREL64 |
0x001a |
Corrección relativa a GP de 64 bits. |
IMAGE_REL_IA64_TOKEN |
0x001b |
Un token CLR. |
IMAGE_REL_IA64_GPREL32 |
0x001c |
Corrección relativa a GP de 32 bits. |
IMAGE_REL_IA64_ADDEND |
0x001F |
La reubicación solo es válida cuando sigue inmediatamente una de las siguientes reubicaciones: IMM14, IMM22, IMM64, GPREL22, LTOFF22, LTOFF64, SECREL22, SECREL64I o SECREL32. Su valor contiene el anexo que se aplicará a las instrucciones de un lote, no para los datos. |
Procesadores MIPS
Los siguientes indicadores de tipo de reubicación se definen para los procesadores MIPS.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_MIPS_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_MIPS_REFHALF |
0x0001 |
Los 16 bits altos del VA de 32 bits del destino. |
IMAGE_REL_MIPS_REFWORD |
0x0002 |
Va de 32 bits del destino. |
IMAGE_REL_MIPS_JMPADDR |
0x0003 |
Los 26 bits bajos del VA del destino. Esto admite las instrucciones de MIPS J y JAL. |
IMAGE_REL_MIPS_REFHI |
0x0004 |
Los 16 bits altos del VA de 32 bits del destino. Se usa para la primera instrucción de una secuencia de dos instrucciones que carga una dirección completa. Esta reubicación debe ir seguida inmediatamente de una reubicación PAIR cuyo SymbolTableIndex contiene un desplazamiento de 16 bits con signo que se agrega a los 16 bits superiores que se toman de la ubicación que se está reubicando. |
IMAGE_REL_MIPS_REFLO |
0x0005 |
Los 16 bits bajos del VA del destino. |
IMAGE_REL_MIPS_GPREL |
0x0006 |
Desplazamiento con signo de 16 bits del destino en relación con el registro gp. |
IMAGE_REL_MIPS_LITERAL |
0x0007 |
Igual que IMAGE_REL_MIPS_GPREL. |
IMAGE_REL_MIPS_SECTION |
0x000A |
El índice de sección de 16 bits de la sección contiene el destino. Se usa para admitir información de depuración. |
IMAGE_REL_MIPS_SECREL |
0x000B |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_MIPS_SECRELLO |
0x000C |
Los 16 bits bajos del desplazamiento de 32 bits del destino desde el principio de su sección. |
IMAGE_REL_MIPS_SECRELHI |
0x000D |
Los 16 bits altos del desplazamiento de 32 bits del destino desde el principio de su sección. Una reubicación IMAGE_REL_MIPS_PAIR debe seguir inmediatamente esta. SymbolTableIndex de la reubicación PAIR contiene un desplazamiento de 16 bits con signo que se agrega a los 16 bits superiores que se toman de la ubicación que se está reubicando. |
IMAGE_REL_MIPS_JMPADDR16 |
0x0010 |
Los 26 bits bajos del VA del destino. Esto admite la instrucción MIPS16 JAL. |
IMAGE_REL_MIPS_REFWORDNB |
0x0022 |
RVA de 32 bits del destino. |
IMAGE_REL_MIPS_PAIR |
0x0025 |
La reubicación solo es válida cuando inmediatamente sigue una reubicación REFHI o SECRELHI. Su SymbolTableIndex contiene un desplazamiento y no un índice en la tabla de símbolos. |
Mitsubishi M32R
Los siguientes indicadores de tipo de reubicación se definen para los procesadores Mitsubishi M32R.
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_M32R_ABSOLUTE |
0x0000 |
La reubicación se omite. |
IMAGE_REL_M32R_ADDR32 |
0x0001 |
Va de 32 bits del destino. |
IMAGE_REL_M32R_ADDR32NB |
0x0002 |
RVA de 32 bits del destino. |
IMAGE_REL_M32R_ADDR24 |
0x0003 |
Va de 24 bits del destino. |
IMAGE_REL_M32R_GPREL16 |
0x0004 |
Desplazamiento de 16 bits del destino del registro gp. |
IMAGE_REL_M32R_PCREL24 |
0x0005 |
Desplazamiento de 24 bits del destino desde el contador de programa (PC), desplazado a la izquierda por 2 bits y extendido con signo |
IMAGE_REL_M32R_PCREL16 |
0x0006 |
Desplazamiento de 16 bits del destino desde el equipo, desplazado a la izquierda por 2 bits y extendido con signo |
IMAGE_REL_M32R_PCREL8 |
0x0007 |
Desplazamiento de 8 bits del destino desde el equipo, desplazado a la izquierda por 2 bits y extendido con signo |
IMAGE_REL_M32R_REFHALF |
0x0008 |
Los 16 MSB del va de destino. |
IMAGE_REL_M32R_REFHI |
0x0009 |
Los 16 MSB del VA de destino, ajustados para la extensión de signo LSB. Se usa para la primera instrucción de una secuencia de dos instrucciones que carga una dirección completa de 32 bits. Esta reubicación debe ir seguida inmediatamente de una reubicación PAIR cuyo SymbolTableIndex contiene un desplazamiento de 16 bits firmado que se agrega a los 16 bits superiores que se toman de la ubicación que se está reubicando. |
IMAGE_REL_M32R_REFLO |
0x000A |
Los 16 LSB del VA de destino. |
IMAGE_REL_M32R_PAIR |
0x000B |
La reubicación debe seguir la reubicación refhi. Su SymbolTableIndex contiene un desplazamiento y no un índice en la tabla de símbolos. |
IMAGE_REL_M32R_SECTION |
0x000C |
Índice de sección de 16 bits de la sección que contiene el destino. Esto se usa para admitir la información de depuración. |
IMAGE_REL_M32R_SECREL |
0x000D |
Desplazamiento de 32 bits del destino desde el principio de su sección. Se usa para admitir la información de depuración y el almacenamiento local de subprocesos estáticos. |
IMAGE_REL_M32R_TOKEN |
0x000E |
Token clR. |
Números de línea COFF (en desuso)
Los números de línea COFF ya no se producen y, en el futuro, no se consumirán.
Los números de línea COFF indican la relación entre el código y los números de línea de los archivos de origen. El formato de Microsoft para los números de línea COFF es similar al COFF estándar, pero se ha ampliado para permitir que una sola sección se relacione con los números de línea en varios archivos de origen.
Los números de línea COFF constan de una matriz de registros de longitud fija. La ubicación (desplazamiento de archivo) y el tamaño de la matriz se especifican en el encabezado de sección. Cada registro de número de línea tiene el formato siguiente.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Tipo (*) |
Se trata de una unión de dos campos: SymbolTableIndex y VirtualAddress. Si se usa SymbolTableIndex o RVA depende del valor de Linenumber. |
4 |
2 |
Número de línea |
Cuando no es cero, este campo especifica un número de línea basado en uno. Cuando es cero, el campo Tipo se interpreta como un índice de tabla de símbolos para una función. |
El campo Tipo es una unión de dos campos de 4 bytes: SymbolTableIndex y VirtualAddress.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
SymbolTableIndex |
Se usa cuando Linenumber es cero: índice para la entrada de tabla de símbolos de una función. Este formato se usa para indicar la función a la que hace referencia un grupo de registros de número de línea. |
0 |
4 |
VirtualAddress |
Se usa cuando Linenumber es distinto de cero: la RVA del código ejecutable que corresponde a la línea de origen indicada. En un archivo de objeto, contiene la va dentro de la sección . |
Un registro de número de línea puede establecer el campo Linenumber en cero y apuntar a una definición de función en la tabla de símbolos o puede funcionar como una entrada de número de línea estándar proporcionando un entero positivo (número de línea) y la dirección correspondiente en el código del objeto.
Un grupo de entradas de número de línea siempre comienza con el primer formato: el índice de un símbolo de función. Si este es el primer registro de número de línea de la sección, también es el nombre del símbolo COMDAT de la función si se establece la marca COMDAT de la sección. Consulte secciones COMDAT (solo objeto). El registro auxiliar de la función en la tabla de símbolos tiene un puntero al campo Linenumber que apunta a este mismo registro de número de línea.
Un registro que identifica una función va seguido de cualquier número de entradas de número de línea que proporcionan información real de número de línea (es decir, entradas con Linenumber mayor que cero). Estas entradas se basan en uno, en relación con el principio de la función, y representan todas las líneas de origen de la función, excepto la primera línea.
Por ejemplo, el primer registro de número de línea para el ejemplo siguiente especificaría la función ReverseSign (SymbolTableIndex de ReverseSign y Linenumber establecido en cero). A continuación, los registros con valores linenumber de 1, 2 y 3 seguirían, correspondientes a las líneas de origen, como se muestra:
// some code precedes ReverseSign function
int ReverseSign(int i)
1: {
2: return -1 * i;
3: }
Tabla de símbolos COFF
La tabla de símbolos de esta sección se hereda del formato COFF tradicional. Es distinto de Microsoft Visual C++ información de depuración. Un archivo puede contener tanto una tabla de símbolos COFF como información de depuración de Visual C++, y las dos se mantienen separadas. Algunas herramientas de Microsoft usan la tabla de símbolos con fines limitados pero importantes, como la comunicación de información de COMDAT al enlazador. Los nombres de sección y los nombres de archivo, así como los símbolos de código y datos, se muestran en la tabla de símbolos.
La ubicación de la tabla de símbolos se indica en el encabezado COFF.
La tabla de símbolos es una matriz de registros, cada 18 bytes de longitud. Cada registro es un registro estándar o auxiliar de tabla de símbolos. Un registro estándar define un símbolo o nombre y tiene el formato siguiente.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
8 |
Nombre (*) |
Nombre del símbolo, representado por una unión de tres estructuras. Se usa una matriz de 8 bytes si el nombre no tiene más de 8 bytes de longitud. Para obtener más información, vea Representación de nombre de símbolo. |
8 |
4 |
Value |
Valor asociado al símbolo. La interpretación de este campo depende de SectionNumber y StorageClass. Un significado típico es la dirección que se puede reasignar. |
12 |
2 |
SectionNumber |
Entero con signo que identifica la sección, utilizando un índice basado en uno en la tabla de secciones. Algunos valores tienen un significado especial, tal como se define en la sección 5.4.2, "Valores de número de sección". |
14 |
2 |
Tipo |
Número que representa el tipo. Las herramientas de Microsoft establecen este campo en 0x20 (función) o 0x0 (no una función). Para obtener más información, vea Representación de tipos. |
16 |
1 |
StorageClass |
Valor enumerado que representa la clase de almacenamiento. Para obtener más información, consulte Clase de almacenamiento. |
17 |
1 |
NumberOfAuxSymbols |
Número de entradas de tabla de símbolos auxiliares que siguen este registro. |
Cero o más registros auxiliares de tabla de símbolos inmediatamente siguen cada registro de tabla de símbolos estándar. Sin embargo, normalmente no más de un registro auxiliar de tabla de símbolos sigue un registro de tabla de símbolos estándar (excepto los registros .file con nombres de archivo largos). Cada registro auxiliar tiene el mismo tamaño que un registro estándar de tabla de símbolos (18 bytes), pero en lugar de definir un nuevo símbolo, el registro auxiliar proporciona información adicional sobre el último símbolo definido. La elección de los distintos formatos que se van a usar depende del campo StorageClass. Los formatos definidos actualmente para los registros de tabla de símbolos auxiliares se muestran en la sección 5.5, "Registros de símbolos auxiliares".
Las herramientas que leen tablas de símbolos COFF deben omitir los registros de símbolos auxiliares cuya interpretación es desconocida. Esto permite extender el formato de tabla de símbolos para agregar nuevos registros auxiliares, sin interrumpir las herramientas existentes.
Representación de nombre de símbolo
El campo ShortName de una tabla de símbolos consta de 8 bytes que contienen el propio nombre, si no tiene más de 8 bytes de longitud, o el campo ShortName proporciona un desplazamiento en la tabla de cadenas. Para determinar si se proporciona el propio nombre o un desplazamiento, pruebe los 4 primeros bytes para que sean iguales a cero.
Por convención, los nombres se tratan como cadenas codificadas UTF-8 terminadas en cero.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
8 |
nombreCorto |
Matriz de 8 bytes. Esta matriz se rellena con valores NULL a la derecha si el nombre tiene menos de 8 bytes de longitud. |
0 |
4 |
Ceros |
Campo que se establece en todos los ceros si el nombre tiene más de 8 bytes. |
4 |
4 |
Offset |
Desplazamiento en la tabla de cadenas. |
Valores de número de sección
Normalmente, el campo Valor de sección de una entrada de tabla de símbolos es un índice basado en uno en la tabla de secciones. Sin embargo, este campo es un entero con signo y puede tomar valores negativos. Los valores siguientes, menos de uno, tienen significados especiales.
Constante | Value | Descripción |
---|---|---|
IMAGE_SYM_UNDEFINED |
0 |
Todavía no se ha asignado una sección al registro de símbolos. Un valor de cero indica que una referencia a un símbolo externo se define en otro lugar. Un valor distinto de cero es un símbolo común con un tamaño especificado por el valor . |
IMAGE_SYM_ABSOLUTE |
-1 |
El símbolo tiene un valor absoluto (no reasignable) y no es una dirección. |
IMAGE_SYM_DEBUG |
-2 |
El símbolo proporciona información general de tipo o depuración, pero no corresponde a una sección. Las herramientas de Microsoft usan esta configuración junto con los registros .file (clase de almacenamiento FILE). |
Representación de tipos
El campo Tipo de una entrada de tabla de símbolos contiene 2 bytes, donde cada byte representa información de tipo. El LSB representa el tipo de datos simple (base) y el MSB representa el tipo complejo, si existe:
MSB | LSB |
---|---|
Tipo complejo: none, pointer, function, array. |
Tipo base: entero, punto flotante, etc. |
Los valores siguientes se definen para el tipo base, aunque las herramientas de Microsoft generalmente no usan este campo y establecen el LSB en 0. En su lugar, la información de depuración de Visual C++ se usa para indicar tipos. Sin embargo, los posibles valores de COFF se enumeran aquí por integridad.
Constante | Value | Descripción |
---|---|---|
IMAGE_SYM_TYPE_NULL |
0 |
No hay información de tipo ni tipo base desconocido. Las herramientas de Microsoft usan esta configuración |
IMAGE_SYM_TYPE_VOID |
1 |
No hay ningún tipo válido; se usa con punteros y funciones void |
IMAGE_SYM_TYPE_CHAR |
2 |
Carácter (byte con signo) |
IMAGE_SYM_TYPE_SHORT |
3 |
Entero de 2 bytes con signo |
IMAGE_SYM_TYPE_INT |
4 |
Tipo entero natural (normalmente 4 bytes en Windows) |
IMAGE_SYM_TYPE_LONG |
5 |
Entero de 4 bytes con signo |
IMAGE_SYM_TYPE_FLOAT |
6 |
Un número de punto flotante de 4 bytes |
IMAGE_SYM_TYPE_DOUBLE |
7 |
Un número de punto flotante de 8 bytes |
IMAGE_SYM_TYPE_STRUCT |
8 |
Estructura |
IMAGE_SYM_TYPE_UNION |
9 |
Una unión |
IMAGE_SYM_TYPE_ENUM |
10 |
Un tipo enumerado |
IMAGE_SYM_TYPE_MOE |
11 |
Miembro de la enumeración (un valor específico) |
IMAGE_SYM_TYPE_BYTE |
12 |
Un byte; entero de 1 byte sin signo |
IMAGE_SYM_TYPE_WORD |
13 |
Una palabra; entero de 2 bytes sin signo |
IMAGE_SYM_TYPE_UINT |
14 |
Entero sin signo de tamaño natural (normalmente, 4 bytes) |
IMAGE_SYM_TYPE_DWORD |
15 |
Entero de 4 bytes sin signo |
El byte más significativo especifica si el símbolo es un puntero a, una función que devuelve o una matriz del tipo base especificado en el LSB. Las herramientas de Microsoft usan este campo solo para indicar si el símbolo es una función, de modo que los dos únicos valores resultantes sean 0x0 y 0x20 para el campo Tipo. Sin embargo, otras herramientas pueden usar este campo para comunicar más información.
Es muy importante especificar correctamente el atributo de función. Esta información es necesaria para que la vinculación incremental funcione correctamente. Para algunas arquitecturas, la información puede ser necesaria para otros fines.
Constante | Value | Descripción |
---|---|---|
IMAGE_SYM_DTYPE_NULL |
0 |
Sin tipo derivado; el símbolo es una variable escalar simple. |
IMAGE_SYM_DTYPE_POINTER |
1 |
El símbolo es un puntero al tipo base. |
IMAGE_SYM_DTYPE_FUNCTION |
2 |
El símbolo es una función que devuelve un tipo base. |
IMAGE_SYM_DTYPE_ARRAY |
3 |
El símbolo es una matriz de tipo base. |
Clase de almacenamiento
El campo StorageClass de la tabla de símbolos indica qué tipo de definición representa un símbolo. En la tabla siguiente se muestran los valores posibles. Tenga en cuenta que el campo StorageClass es un entero de 1 byte sin signo. Por lo tanto, se debe tomar el valor especial -1 para significar su equivalente sin signo, 0xFF.
Aunque el formato COFF tradicional usa muchos valores de clase de almacenamiento, las herramientas de Microsoft se basan en el formato de depuración de Visual C++ para la mayoría de la información simbólica y, por lo general, usan solo cuatro valores de clase de almacenamiento: EXTERNAL (2), STATIC (3), FUNCTION (101) y FILE (103). Excepto en el segundo encabezado de columna a continuación, se debe tomar "Valor" para significar el campo Valor del registro de símbolos (cuya interpretación depende del número encontrado como clase de almacenamiento).
Constante | Value | Descripción/interpretación del campo Valor |
---|---|---|
IMAGE_SYM_CLASS_END_OF_FUNCTION |
-1 (0xFF) |
Símbolo especial que representa el final de la función, con fines de depuración. |
IMAGE_SYM_CLASS_NULL |
0 |
No hay ninguna clase de almacenamiento asignada. |
IMAGE_SYM_CLASS_AUTOMATIC |
1 |
Variable automática (pila). El campo Valor especifica el desplazamiento del marco de pila. |
IMAGE_SYM_CLASS_EXTERNAL |
2 |
Valor que usan las herramientas de Microsoft para símbolos externos. El campo Valor indica el tamaño si el número de sección es IMAGE_SYM_UNDEFINED (0). Si el número de sección no es cero, el campo Valor especifica el desplazamiento dentro de la sección. |
IMAGE_SYM_CLASS_STATIC |
3 |
Desplazamiento del símbolo dentro de la sección. Si el campo Valor es cero, el símbolo representa un nombre de sección. |
IMAGE_SYM_CLASS_REGISTER |
4 |
Variable de registro. El campo Valor especifica el número de registro. |
IMAGE_SYM_CLASS_EXTERNAL_DEF |
5 |
Símbolo definido externamente. |
IMAGE_SYM_CLASS_LABEL |
6 |
Etiqueta de código que se define dentro del módulo. El campo Valor especifica el desplazamiento del símbolo dentro de la sección. |
IMAGE_SYM_CLASS_UNDEFINED_LABEL |
7 |
Referencia a una etiqueta de código que no está definida. |
IMAGE_SYM_CLASS_MEMBER_OF_STRUCT |
8 |
Miembro de estructura. El campo Valor especifica el nº miembro. |
IMAGE_SYM_CLASS_ARGUMENT |
9 |
Argumento formal (parámetro) de una función. El campo Valor especifica el nº argumento. |
IMAGE_SYM_CLASS_STRUCT_TAG |
10 |
Entrada de nombre de etiqueta de estructura. |
IMAGE_SYM_CLASS_MEMBER_OF_UNION |
11 |
Un miembro de la unión. El campo Valor especifica el nº miembro. |
IMAGE_SYM_CLASS_UNION_TAG |
12 |
Entrada de nombre de etiqueta union. |
IMAGE_SYM_CLASS_TYPE_DEFINITION |
13 |
Una entrada Typedef. |
IMAGE_SYM_CLASS_UNDEFINED_STATIC |
14 |
Declaración de datos estática. |
IMAGE_SYM_CLASS_ENUM_TAG |
15 |
Entrada tagname de tipo enumerado. |
IMAGE_SYM_CLASS_MEMBER_OF_ENUM |
16 |
Miembro de una enumeración. El campo Valor especifica el nº miembro. |
IMAGE_SYM_CLASS_REGISTER_PARAM |
17 |
Parámetro register. |
IMAGE_SYM_CLASS_BIT_FIELD |
18 |
Referencia de campo de bits. El campo Valor especifica el nº bit del campo de bits. |
IMAGE_SYM_CLASS_BLOCK |
100 |
Registro .bb (principio del bloque) o .eb (final del bloque). El campo Valor es la dirección reasignable de la ubicación del código. |
IMAGE_SYM_CLASS_FUNCTION |
101 |
Valor que las herramientas de Microsoft usan para los registros de símbolos que definen la extensión de una función: begin function (.bf), end function ( .ef ) y lines in function ( .lf ). Para los registros .lf, el campo Valor proporciona el número de líneas de origen en la función . Para los registros .ef, el campo Valor proporciona el tamaño del código de función. |
IMAGE_SYM_CLASS_END_OF_STRUCT |
102 |
Entrada de fin de estructura. |
IMAGE_SYM_CLASS_FILE |
103 |
Valor que las herramientas de Microsoft, así como el formato de COFF tradicional, usan para el registro de símbolos de archivo de origen. El símbolo va seguido de registros auxiliares que asignan el nombre al archivo. |
IMAGE_SYM_CLASS_SECTION |
104 |
Definición de una sección (las herramientas de Microsoft usan la clase de almacenamiento STATIC en su lugar). |
IMAGE_SYM_CLASS_WEAK_EXTERNAL |
105 |
Un externo débil. Para obtener más información, vea Formato auxiliar 3: Externals débiles. |
IMAGE_SYM_CLASS_CLR_TOKEN |
107 |
Símbolo de token clR. El nombre es una cadena ASCII que consta del valor hexadecimal del token. Para obtener más información, vea Definición de token CLR (solo objeto). |
Registros de símbolos auxiliares
Los registros de tabla de símbolos auxiliares siempre siguen y se aplican a algunos registros de tabla de símbolos estándar. Un registro auxiliar puede tener cualquier formato que las herramientas puedan reconocer, pero se deben asignar 18 bytes para ellos para que la tabla de símbolos se mantenga como una matriz de tamaño normal. Actualmente, las herramientas de Microsoft reconocen formatos auxiliares para los siguientes tipos de registros: definiciones de función, símbolos iniciales y finales de función (.bf y .ef), externos débiles, nombres de archivo y definiciones de sección.
El diseño tradicional de COFF también incluye formatos de registro auxiliar para matrices y estructuras. Las herramientas de Microsoft no las usan, sino que colocan esa información simbólica en formato de depuración de Visual C++ en las secciones de depuración.
Formato auxiliar 1: Definiciones de función
Un registro de tabla de símbolos marca el principio de una definición de función si tiene lo siguiente: una clase de almacenamiento external (2), un valor type que indica que es una función (0x20) y un número de sección mayor que cero. Tenga en cuenta que un registro de tabla de símbolos que tiene un número de sección de UNDEFINED (0) no define la función y no tiene un registro auxiliar. Los registros de símbolos de definición de función van seguidos de un registro auxiliar en el formato descrito a continuación:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
TagIndex |
Índice de la tabla de símbolos del registro de símbolos .bf (función begin) correspondiente. |
4 |
4 |
TotalSize |
Tamaño del código ejecutable de la propia función. Si la función está en su propia sección, sizeOfRawData en el encabezado de sección es mayor o igual que este campo, en función de las consideraciones de alineación. |
8 |
4 |
PointerToLinenumber |
Desplazamiento de archivo de la primera entrada de número de línea COFF para la función, o cero si no existe ninguno. Para obtener más información, vea Números de línea coff (en desuso). |
12 |
4 |
PointerToNextFunction |
Índice de tabla de símbolos del registro para la siguiente función. Si la función es la última de la tabla de símbolos, este campo se establece en cero. |
16 |
2 |
No utilizado |
Formato auxiliar 2: símbolos .bf y .ef
Para cada definición de función de la tabla de símbolos, tres elementos describen el principio, el final y el número de líneas. Cada uno de estos símbolos tiene la clase de almacenamiento FUNCTION (101):
Registro de símbolos denominado .bf (función begin). El campo Valor no se usa.
Registro de símbolos denominado .lf (líneas en función). El campo Valor proporciona el número de líneas de la función.
Registro de símbolos denominado .ef (final de la función). El campo Valor tiene el mismo número que el campo Tamaño total en el registro de símbolos de definición de función.
Los registros de símbolos .bf y .ef (pero no .lf) van seguidos de un registro auxiliar con el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
No utilizado |
|
4 |
2 |
Número de línea |
Número de línea ordinal real (1, 2, 3, etc.) dentro del archivo de origen, correspondiente al registro .bf o .ef. |
6 |
6 |
No utilizado |
|
12 |
4 |
PointerToNextFunction ( solo .bf) |
Índice de la tabla de símbolos del siguiente registro de símbolos .bf. Si la función es la última de la tabla de símbolos, este campo se establece en cero. No se usa para los registros .ef. |
16 |
2 |
No utilizado |
Formato auxiliar 3: Externos débiles
Los "externos débiles" son un mecanismo para los archivos de objeto que permiten flexibilidad en el momento del vínculo. Un módulo puede contener un símbolo externo sin resolver (sym1), pero también puede incluir un registro auxiliar que indica que si sym1 no está presente en el momento del vínculo, se usa otro símbolo externo (sym2) para resolver las referencias en su lugar.
Si se vincula una definición de sym1, normalmente se resuelve una referencia externa al símbolo. Si una definición de sym1 no está vinculada, todas las referencias al externo débil para sym1 hacen referencia a sym2 en su lugar. El símbolo externo, sym2, siempre debe estar vinculado; Normalmente, se define en el módulo que contiene la referencia débil a sym1.
Los externos débiles se representan mediante un registro de tabla de símbolos con la clase de almacenamiento EXTERNAL, el número de sección UNDEF y un valor de cero. El registro de símbolos poco externos va seguido de un registro auxiliar con el siguiente formato:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
TagIndex |
Índice de tabla de símbolos de sym2, el símbolo que se va a vincular si no se encuentra sym1. |
4 |
4 |
Características |
Un valor de IMAGE_WEAK_EXTERN_SEARCH_NOLIBRARY indica que no se debe realizar ninguna búsqueda de biblioteca sym1. Un valor de IMAGE_WEAK_EXTERN_SEARCH_LIBRARY indica que se debe realizar una búsqueda de biblioteca sym1. Un valor de IMAGE_WEAK_EXTERN_SEARCH_ALIAS indica que sym1 es un alias para sym2. |
8 |
10 |
No utilizado |
Tenga en cuenta que el campo Características no está definido en WINNT. H; en su lugar, se usa el campo Tamaño total.
Formato auxiliar 4: Archivos
Este formato sigue un registro de tabla de símbolos con la clase de almacenamiento FILE (103). El propio nombre del símbolo debe ser .file y el registro auxiliar que sigue proporciona el nombre de un archivo de código fuente.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
18 |
Nombre de archivo |
Cadena ANSI que proporciona el nombre del archivo de origen. Esto se rellena con valores NULL si es menor que la longitud máxima. |
Formato auxiliar 5: Definiciones de sección
Este formato sigue un registro de tabla de símbolos que define una sección. Este registro tiene un nombre de símbolo que es el nombre de una sección (como .text o .drectve) y tiene la clase de almacenamiento STATIC (3). El registro auxiliar proporciona información sobre la sección a la que hace referencia. Por lo tanto, duplica parte de la información del encabezado de sección.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Length |
Tamaño de los datos de sección; igual que SizeOfRawData en el encabezado de sección. |
4 |
2 |
NumberOfRelocations |
Número de entradas de reubicación para la sección. |
6 |
2 |
NumberOfLinenumbers |
Número de entradas de número de línea para la sección. |
8 |
4 |
Checksum |
Suma de comprobación de los datos comunes. Es aplicable si la marca IMAGE_SCN_LNK_COMDAT se establece en el encabezado de sección. Para obtener más información, vea Secciones COMDAT (solo objeto). |
12 |
2 |
Number |
Índice basado en uno en la tabla de secciones de la sección asociada. Esto se usa cuando el valor de selección COMDAT es 5. |
14 |
1 |
Número de selección |
Número de selección DE COMDAT. Esto es aplicable si la sección es una sección COMDAT. |
15 |
3 |
No utilizado |
Secciones COMDAT (solo objeto)
El campo Selección del formato auxiliar de definición de sección es aplicable si la sección es una sección COMDAT. Una sección COMDAT es una sección que se puede definir mediante más de un archivo de objeto. (La marca IMAGE_SCN_LNK_COMDAT se establece en el campo Marcas de sección del encabezado de sección). El campo Selección determina la forma en que el enlazador resuelve las varias definiciones de secciones COMDAT.
El primer símbolo que tiene el valor de sección de la sección COMDAT debe ser el símbolo de sección. Este símbolo tiene el nombre de la sección, el campo Valor igual a cero, el número de sección de la sección COMDAT en cuestión, el campo Tipo igual a IMAGE_SYM_TYPE_NULL, el campo Clase igual a IMAGE_SYM_CLASS_STATIC y un registro auxiliar. El segundo símbolo se denomina "símbolo COMDAT" y lo usa el enlazador junto con el campo Selección.
A continuación se muestran los valores del campo Selección.
Constante | Value | Descripción |
---|---|---|
IMAGE_COMDAT_SELECT_NODUPLICATES |
1 |
Si este símbolo ya está definido, el enlazador emite un error de "símbolo definido por multiplicación". |
IMAGE_COMDAT_SELECT_ANY |
2 |
Cualquier sección que defina el mismo símbolo COMDAT se puede vincular; se quitan el resto. |
IMAGE_COMDAT_SELECT_SAME_SIZE |
3 |
El enlazador elige una sección arbitraria entre las definiciones de este símbolo. Si todas las definiciones no tienen el mismo tamaño, se emite un error de "símbolo definido por multiplicación". |
IMAGE_COMDAT_SELECT_EXACT_MATCH |
4 |
El enlazador elige una sección arbitraria entre las definiciones de este símbolo. Si todas las definiciones no coinciden exactamente, se emite un error de "símbolo definido de multiplicación". |
IMAGE_COMDAT_SELECT_ASSOCIATIVE |
5 |
La sección está vinculada si se vincula una determinada sección COMDAT. Esta otra sección se indica mediante el campo Número del registro de símbolos auxiliares para la definición de sección. Esta configuración es útil para las definiciones que tienen componentes en varias secciones (por ejemplo, código en uno y datos en otro), pero donde todos deben vincularse o descartarse como un conjunto. La otra sección a la que está asociada esta sección debe ser una sección COMDAT, que puede ser otra sección COMDAT asociativa. Una cadena de asociación de sección COMDAT asociativa no puede formar un bucle. La cadena de asociación de secciones debe llegar finalmente a una sección COMDAT que no tiene IMAGE_COMDAT_SELECT_ASSOCIATIVE establecido. |
IMAGE_COMDAT_SELECT_LARGEST |
6 |
El enlazador elige la definición más grande entre todas las definiciones de este símbolo. Si varias definiciones tienen este tamaño, la elección entre ellas es arbitraria. |
Definición de token de CLR (solo objeto)
Este símbolo auxiliar suele seguir el IMAGE_SYM_CLASS_CLR_TOKEN. Se usa para asociar un token con el espacio de nombres de la tabla de símbolos COFF.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
1 |
bAuxType |
Debe ser IMAGE_AUX_SYMBOL_TYPE_TOKEN_DEF (1). |
1 |
1 |
bReserved |
Reservado, debe ser cero. |
2 |
4 |
SymbolTableIndex |
Índice de símbolo del símbolo COFF al que hace referencia esta definición de token CLR. |
6 |
12 |
Reservado, debe ser cero. |
Tabla de cadenas COFF
Inmediatamente después de la tabla de símbolos COFF se encuentra la tabla de cadenas COFF. La posición de esta tabla se encuentra tomando la dirección de la tabla de símbolos en el encabezado COFF y agregando el número de símbolos multiplicados por el tamaño de un símbolo.
Al principio de la tabla de cadenas COFF hay 4 bytes que contienen el tamaño total (en bytes) del resto de la tabla de cadenas. Este tamaño incluye el propio campo de tamaño, por lo que el valor de esta ubicación sería 4 si no hubiera ninguna cadena.
Después del tamaño, hay cadenas terminadas en null a las que apuntan los símbolos de la tabla de símbolos COFF.
Tabla de certificados de atributo (solo imagen)
Los certificados de atributo se pueden asociar a una imagen agregando una tabla de certificados de atributo. La tabla de certificados de atributo se compone de un conjunto de entradas de certificado de atributo contiguas y alineadas con quadword. El relleno cero se inserta entre el final original del archivo y el principio de la tabla de certificados de atributo para lograr esta alineación. Cada entrada de certificado de atributo contiene los campos siguientes.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
dwLength |
Especifica la longitud de la entrada del certificado de atributo. |
4 |
2 |
wRevision |
Contiene el número de versión del certificado. Para más información, consulte el texto siguiente. |
6 |
2 |
wCertificateType |
Especifica el tipo de contenido en bCertificate. Para más información, consulte el texto siguiente. |
8 |
Consulte |
bCertificate |
Contiene un certificado, como una firma Authenticode. Para más información, consulte el texto siguiente. |
El valor de dirección virtual de la entrada Tabla de certificados en el directorio de datos de encabezado opcional es un desplazamiento de archivo a la primera entrada de certificado de atributo. Se accede a las entradas posteriores avanzando los bytes dwLength de esa entrada, redondeados hasta un múltiplo de 8 bytes, desde el principio de la entrada del certificado de atributo actual. Esto continúa hasta que la suma de los valores dwLength redondeados es igual al valor Size de la entrada Tabla de certificados en el Directorio de datos de encabezado opcional. Si la suma de los valores dwLength redondeados no es igual al valor Tamaño, la tabla de certificados de atributo o el campo Tamaño está dañado.
Por ejemplo, si la entrada de tabla de certificados del directorio de datos de encabezado opcional contiene:
virtual address = 0x5000
size = 0x1000
El primer certificado comienza en el desplazamiento 0x5000 desde el inicio del archivo en el disco. Para avanzar por todas las entradas del certificado de atributo:
- Agregue el primer valor dwLength del certificado de atributo al desplazamiento inicial.
- Redondea el valor del paso 1 hasta el múltiplo de 8 bytes más cercano para encontrar el desplazamiento de la segunda entrada del certificado de atributo.
- Agregue el valor de desplazamiento del paso 2 al segundo valor dwLength de la entrada del certificado de atributo y redondee hasta el múltiplo de 8 bytes más cercano para determinar el desplazamiento de la tercera entrada del certificado de atributo.
- Repita el paso 3 para cada certificado sucesivo hasta que el desplazamiento calculado sea igual a 0x6000 (0x5000 inicio + 0x1000 tamaño total), lo que indica que ha recorrido toda la tabla.
Como alternativa, puede enumerar las entradas del certificado llamando a la función ImageEnumerateCertificates de Win32 en un bucle. Para obtener un vínculo a la página de referencia de la función, consulte Referencias.
Las entradas de la tabla de certificados de atributo pueden contener cualquier tipo de certificado, siempre que la entrada tenga el valor dwLength correcto, un valor wRevision único y un valor wCertificateType único. El tipo más común de entrada de tabla de certificados es una estructura de WIN_CERTIFICATE, que se documenta en Wintrust.h y se describe en el resto de esta sección.
Las opciones del miembro WIN_CERTIFICATE wRevision incluyen (pero no están limitados a) lo siguiente.
Value | Nombre | Notas |
---|---|---|
0x0100 |
WIN_CERT_REVISION_1_0 |
Versión 1, versión heredada de la estructura Win_Certificate. Solo se admite para comprobar las firmas heredadas de Authenticode. |
0x0200 |
WIN_CERT_REVISION_2_0 |
La versión 2 es la versión actual de la estructura Win_Certificate. |
Las opciones del miembro WIN_CERTIFICATE wCertificateType incluyen (pero no están limitados a) los elementos de la tabla siguiente. Tenga en cuenta que actualmente no se admiten algunos valores.
Value | Nombre | Notas |
---|---|---|
0x0001 |
WIN_CERT_TYPE_X509 |
bCertificate contiene un certificado X.509 No compatible |
0x0002 |
WIN_CERT_TYPE_PKCS_SIGNED_DATA |
bCertificate contiene una estructura SignedData de PKCS#7 |
0x0003 |
WIN_CERT_TYPE_RESERVED_1 |
Reservada |
0x0004 |
WIN_CERT_TYPE_TS_STACK_SIGNED |
Firma de certificados de pila de protocolos de Terminal Server No compatible |
El miembro bCertificate de la estructura WIN_CERTIFICATE contiene una matriz de bytes de longitud variable con el tipo de contenido especificado por wCertificateType. El tipo admitido por Authenticode es WIN_CERT_TYPE_PKCS_SIGNED_DATA, una estructura PKCS#7 SignedData . Para obtener más información sobre el formato de firma digital Authenticode, consulta Formato de firma ejecutable portable de Windows Authenticode.
Si el contenido de bCertificate no termina en un límite cuadrigrama, la entrada del certificado de atributo se rellena con ceros, desde el final de bCertificate hasta el siguiente límite de quadword.
El valor dwLength es la longitud de la estructura de WIN_CERTIFICATE finalizada y se calcula como:
dwLength = offsetof(WIN_CERTIFICATE, bCertificate) + (size of the variable-length binary array contained within bCertificate)
Esta longitud debe incluir el tamaño de cualquier relleno que se use para satisfacer el requisito de que cada estructura de WIN_CERTIFICATE esté alineada con cuatro palabras:
dwLength += (8 - (dwLength & 7)) & 7;
El tamaño de la tabla de certificados especificado en la entrada Tabla de certificados en los directorios de datos de encabezado opcionales (solo imagen) incluye el relleno.
Para obtener más información sobre el uso de imageHlp API para enumerar, agregar y quitar certificados de archivos PE, vea ImageHlp Functions.
Datos de certificado
Como se indicó en la sección anterior, los certificados de la tabla de certificados de atributo pueden contener cualquier tipo de certificado. Los certificados que garantizan la integridad de un archivo PE pueden incluir un hash de imagen PE.
Un hash de imagen PE (o hash de archivo) es similar a una suma de comprobación de archivo en que el algoritmo hash genera un resumen de mensaje relacionado con la integridad de un archivo. Sin embargo, una suma de comprobación se genera mediante un algoritmo simple y se usa principalmente para detectar si un bloque de memoria en el disco ha ido mal y los valores almacenados allí se han dañado. Un hash de archivo es similar a una suma de comprobación en que también detecta daños en los archivos. Sin embargo, a diferencia de la mayoría de los algoritmos de suma de comprobación, es muy difícil modificar un archivo sin cambiar el hash de archivo a partir de su valor sin modificar original. Por lo tanto, se puede usar un hash de archivo para detectar modificaciones intencionadas e incluso sutiles en un archivo, como las introducidas por virus, hackers o programas troyanos.
Cuando se incluye en un certificado, el resumen de la imagen debe excluir determinados campos de la imagen pe, como la entrada Checksum y Certificate Table en los Directorios de datos de encabezado opcionales. Esto se debe a que el acto de agregar un certificado cambia estos campos y provocaría que se calcule un valor hash diferente.
La función ImageGetDigestStream de Win32 proporciona un flujo de datos de un archivo PE de destino con el que se usan funciones hash. Este flujo de datos sigue siendo coherente cuando se agregan o quitan certificados de un archivo PE. Según los parámetros que se pasan a ImageGetDigestStream, se pueden omitir otros datos de la imagen pe del cálculo hash. Para obtener un vínculo a la página de referencia de la función, consulte Referencias.
Delay-Load importar tablas (solo imagen)
Estas tablas se agregaron a la imagen para admitir un mecanismo uniforme para que las aplicaciones retrase la carga de un archivo DLL hasta la primera llamada a esa DLL. El diseño de las tablas coincide con el de las tablas de importación tradicionales que se describen en la sección 6.4, La sección .idata". Aquí solo se describen algunos detalles.
Tabla de directorios de Delay-Load
La tabla de directorios de carga diferido es el homólogo de la tabla de directorios de importación. Se puede recuperar a través de la entrada Delay Import Descriptor en la lista opcional de directorios de datos de encabezado (desplazamiento 200). La tabla se organiza de la siguiente manera:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Atributos |
Debe ser cero. |
4 |
4 |
Nombre |
RVA del nombre del archivo DLL que se va a cargar. El nombre reside en la sección de datos de solo lectura de la imagen. |
8 |
4 |
Identificador de módulo |
RVA del identificador del módulo (en la sección de datos de la imagen) del archivo DLL que se va a cargar con retraso. Se usa para el almacenamiento mediante la rutina que se proporciona para administrar la carga diferida. |
12 |
4 |
Tabla de direcciones de importación retrasada |
RVA de la tabla de direcciones de importación de carga retrasada. Para obtener más información, vea Delay Import Address Table (IAT). |
16 |
4 |
Tabla de nombres de importación retrasada |
RVA de la tabla de nombres de carga diferida, que contiene los nombres de las importaciones que podrían necesitar cargarse. Esto coincide con el diseño de la tabla de nombres de importación. Para obtener más información, vea Hint/Name Table. |
20 |
4 |
Tabla de importación de retraso enlazada |
RVA de la tabla de direcciones de carga retrasada enlazada, si existe. |
24 |
4 |
Descargar tabla de importación de retraso |
RVA de la tabla de direcciones de carga diferida de descarga, si existe. Se trata de una copia exacta de la tabla de direcciones de importación retrasada. Si el autor de la llamada descarga el archivo DLL, esta tabla se debe volver a copiar en la tabla de direcciones de importación retrasadas para que las llamadas posteriores al archivo DLL sigan usando el mecanismo de ordenación correctamente. |
28 |
4 |
Marca de tiempo |
Marca de tiempo del archivo DLL al que se ha enlazado esta imagen. |
Las tablas a las que se hace referencia en esta estructura de datos se organizan y ordenan igual que sus homólogos para las importaciones tradicionales. Para obtener más información, consulte la sección .idata.
Atributos
Por el momento, no se han definido marcas de atributo. El enlazador establece este campo en cero en la imagen. Este campo se puede usar para ampliar el registro indicando la presencia de nuevos campos, o bien se puede usar para indicar comportamientos a las funciones auxiliares de retraso o descarga.
Nombre
El nombre del archivo DLL que se va a cargar con retraso reside en la sección de datos de solo lectura de la imagen. Se hace referencia a él mediante el campo szName.
Identificador del módulo
El identificador del archivo DLL que se va a cargar con retraso se encuentra en la sección de datos de la imagen. El campo phmod apunta al identificador. El asistente de carga retrasada proporcionado usa esta ubicación para almacenar el identificador en el archivo DLL cargado.
Tabla de direcciones de importación retrasada
El descriptor de importación de retrasos hace referencia a la tabla de direcciones de importación (IAT) a través del campo pIAT. El asistente de carga retrasada actualiza estos punteros con los puntos de entrada reales para que los thunks ya no estén en el bucle de llamada. Se tiene acceso a los punteros de función mediante la expresión pINT->u1.Function
.
Retrasar la tabla de nombres de importación
La tabla de nombres de importación de retraso (INT) contiene los nombres de las importaciones que podrían requerir la carga. Se ordenan de la misma manera que los punteros de función en el IAT. Constan de las mismas estructuras que el INT estándar y se accede a ellas mediante la expresión pINT->u1.AddressOfData->Name[0]
.
Tabla de direcciones de importación enlazadas retrasadas y marca de tiempo
La tabla de direcciones de importación enlazadas con retraso (BIAT) es una tabla opcional de IMAGE_THUNK_DATA elementos que se usan junto con el campo de marca de tiempo de la tabla de directorios de carga retrasada mediante una fase de enlace posterior al proceso.
Retrasar la descarga de la tabla de direcciones de importación
La tabla de direcciones de importación de descarga de retraso (UIAT) es una tabla opcional de IMAGE_THUNK_DATA elementos que usa el código de descarga para controlar una solicitud de descarga explícita. Consta de datos inicializados en la sección de solo lectura que es una copia exacta del IAT original que hizo referencia al código a los thunks de carga retrasada. En la solicitud de descarga, la biblioteca se puede liberar, el *phmod borrado y la UIAT escrita sobre la IAT para restaurar todo a su estado de precarga.
Secciones especiales
- La sección .debug
- Sección .drectve (solo objeto)
- La sección .edata (solo imagen)
- La sección .idata
- La sección .pdata
- La sección .reloc (solo imagen)
- Sección .tls
- Estructura de configuración de carga (solo imagen)
- La sección .rsrc
- La sección .cormeta (solo objeto)
- La sección .sxdata
Las secciones típicas de COFF contienen código o datos que los enlazadores y los cargadores de Microsoft Win32 procesan sin conocimientos especiales sobre el contenido de la sección. El contenido solo es relevante para la aplicación que se está vinculando o ejecutando.
Sin embargo, algunas secciones de COFF tienen significados especiales cuando se encuentran en archivos de objetos o archivos de imagen. Las herramientas y los cargadores reconocen estas secciones porque tienen marcas especiales establecidas en el encabezado de sección, ya que las ubicaciones especiales del encabezado opcional de la imagen apuntan a ellas, o porque el propio nombre de sección indica una función especial de la sección. (Incluso si el propio nombre de sección no indica una función especial de la sección, el nombre de sección viene determinado por convención, por lo que los autores de esta especificación pueden hacer referencia a un nombre de sección en todos los casos).
Las secciones reservadas y sus atributos se describen en la tabla siguiente, seguidas de descripciones detalladas de los tipos de sección que se conservan en ejecutables y los tipos de sección que contienen metadatos para extensiones.
Nombre de sección | Contenido | Características |
---|---|---|
.bss |
Datos sin inicializar (formato libre) |
IMAGE_SCN_CNT_UNINITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE |
.cormeta |
Metadatos clR que indican que el archivo de objeto contiene código administrado |
IMAGE_SCN_LNK_INFO |
.data |
Datos inicializados (formato libre) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE |
.debug$F |
Información de depuración de FPO generada (solo objeto, solo arquitectura x86 y ahora obsoleta) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_DISCARDABLE |
.debug$P |
Tipos de depuración precompilados (solo objeto) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_DISCARDABLE |
.debug$S |
Símbolos de depuración (solo objeto) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_DISCARDABLE |
.debug$T |
Tipos de depuración (solo objeto) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_DISCARDABLE |
.drective |
Opciones del enlazador |
IMAGE_SCN_LNK_INFO |
.edata |
Exportación de tablas |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ |
.idata |
Importación de tablas |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE |
.idlsym |
Incluye SEH registrado (solo imagen) para admitir atributos IDL. Para obtener información, vea "Atributos IDL" en Referencias al final de este tema. |
IMAGE_SCN_LNK_INFO |
.pdata |
Información de la excepción |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ |
.rdata |
Datos inicializados de solo lectura |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ |
.Reloc |
Reubicaciones de imágenes |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_DISCARDABLE |
.rsrc |
Directorio de recursos |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ |
.sbss |
Datos no inicializados relativos a GP (formato libre) |
IMAGE_SCN_CNT_UNINITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE | IMAGE _SCN_GPREL La marca IMAGE_SCN_GPREL debe establecerse solo para arquitecturas IA64; esta marca no es válida para otras arquitecturas. La marca IMAGE_SCN_GPREL es solo para los archivos de objeto; cuando este tipo de sección aparece en un archivo de imagen, no se debe establecer la marca IMAGE_SCN_GPREL. |
.sdata |
Datos inicializados relativos a GP (formato libre) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE | IMAGE _SCN_GPREL La marca IMAGE_SCN_GPREL debe establecerse solo para arquitecturas IA64; esta marca no es válida para otras arquitecturas. La marca IMAGE_SCN_GPREL es solo para los archivos de objeto; cuando este tipo de sección aparece en un archivo de imagen, no se debe establecer la marca IMAGE_SCN_GPREL. |
.srdata |
Datos de solo lectura relativos a GP (formato libre) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE _SCN_GPREL La marca IMAGE_SCN_GPREL debe establecerse solo para arquitecturas IA64; esta marca no es válida para otras arquitecturas. La marca IMAGE_SCN_GPREL es solo para los archivos de objeto; cuando este tipo de sección aparece en un archivo de imagen, no se debe establecer la marca IMAGE_SCN_GPREL. |
.sxdata |
Datos registrados del controlador de excepciones (solo formato libre y x86/object) |
IMAGE_SCN_LNK_INFO Contiene el índice de símbolos de cada uno de los controladores de excepciones a los que hace referencia el código de ese archivo de objeto. El símbolo puede ser para un símbolo UNDEF o uno definido en ese módulo. |
.text |
Código ejecutable (formato libre) |
IMAGE_SCN_CNT_CODE | IMAGE_SCN_MEM_EXECUTE | IIMAGE_SCN_MEM_READ |
.Tls |
Almacenamiento local de subprocesos (solo objeto) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE |
.tls$ |
Almacenamiento local de subprocesos (solo objeto) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE |
.vsdata |
Datos inicializados relativos a GP (formato libre y solo para arquitecturas ARM, SH4 y Thumb) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE |
.xdata |
Información de excepciones (formato gratuito) |
IMAGE_SCN_CNT_INITIALIZED_DATA | IMAGE_SCN_MEM_READ |
Algunas de las secciones enumeradas aquí se marcan como "solo objeto" o "solo imagen" para indicar que su semántica especial solo es relevante para archivos de objeto o archivos de imagen, respectivamente. Una sección marcada como "solo imagen" puede seguir apareciendo en un archivo de objeto como una forma de entrar en el archivo de imagen, pero la sección no tiene ningún significado especial para el enlazador, solo para el cargador de archivos de imagen.
Sección .debug
La sección .debug se usa en archivos de objeto para contener información de depuración generada por el compilador y en archivos de imagen para contener toda la información de depuración que se genera. En esta sección se describe el empaquetado de información de depuración en archivos de objeto e imagen.
En la sección siguiente se describe el formato del directorio de depuración, que puede estar en cualquier parte de la imagen. En las secciones posteriores se describen los "grupos" en los archivos de objeto que contienen información de depuración.
El valor predeterminado para el enlazador es que la información de depuración no está asignada al espacio de direcciones de la imagen. Una sección .debug solo existe cuando la información de depuración se asigna en el espacio de direcciones.
Directorio de depuración (solo imagen)
Los archivos de imagen contienen un directorio de depuración opcional que indica qué forma de información de depuración está presente y dónde está. Este directorio consta de una matriz de entradas de directorio de depuración cuya ubicación y tamaño se indican en el encabezado opcional de la imagen.
El directorio de depuración puede estar en una sección .debug descartable (si existe) o puede incluirse en cualquier otra sección del archivo de imagen o no estar en ninguna sección.
Cada entrada de directorio de depuración identifica la ubicación y el tamaño de un bloque de información de depuración. La RVA especificada puede ser cero si la información de depuración no está cubierta por un encabezado de sección (es decir, reside en el archivo de imagen y no se asigna al espacio de direcciones en tiempo de ejecución). Si se asigna, la RVA es su dirección.
Una entrada de directorio de depuración tiene el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Características |
Reservado, debe ser cero. |
4 |
4 |
TimeDateStamp |
Hora y fecha en que se crearon los datos de depuración. |
8 |
2 |
MajorVersion |
Número de versión principal del formato de datos de depuración. |
10 |
2 |
MinorVersion |
Número de versión secundaria del formato de datos de depuración. |
12 |
4 |
Tipo |
Formato de la información de depuración. Este campo permite la compatibilidad de varios depuradores. Para obtener más información, vea Tipo de depuración. |
16 |
4 |
SizeOfData |
Tamaño de los datos de depuración (no incluido el propio directorio de depuración). |
20 |
4 |
AddressOfRawData |
Dirección de los datos de depuración cuando se cargan, en relación con la base de imágenes. |
24 |
4 |
PointerToRawData |
Puntero de archivo a los datos de depuración. |
Tipo de depuración
Los siguientes valores se definen para el campo Tipo de la entrada del directorio de depuración:
Constante | Value | Descripción |
---|---|---|
IMAGE_DEBUG_TYPE_UNKNOWN |
0 |
Valor desconocido omitido por todas las herramientas. |
IMAGE_DEBUG_TYPE_COFF |
1 |
La información de depuración de COFF (números de línea, tabla de símbolos y tabla de cadenas). Los campos de los encabezados de archivo también señalan a este tipo de información de depuración. |
IMAGE_DEBUG_TYPE_CODEVIEW |
2 |
Información de depuración de Visual C++. |
IMAGE_DEBUG_TYPE_FPO |
3 |
Información de omisión del puntero de marco (FPO). Esta información indica al depurador cómo interpretar fotogramas de pila no estándar, que usan el registro EBP para un propósito distinto de un puntero de marco. |
IMAGE_DEBUG_TYPE_MISC |
4 |
Ubicación del archivo DBG. |
IMAGE_DEBUG_TYPE_EXCEPTION |
5 |
Copia de la sección .pdata. |
IMAGE_DEBUG_TYPE_FIXUP |
6 |
Reservado. |
IMAGE_DEBUG_TYPE_OMAP_TO_SRC |
7 |
Asignación de una RVA en la imagen a una RVA en la imagen de origen. |
IMAGE_DEBUG_TYPE_OMAP_FROM_SRC |
8 |
Asignación de una RVA en la imagen de origen a una RVA en la imagen. |
IMAGE_DEBUG_TYPE_BORLAND |
9 |
Reservado para Borland. |
IMAGE_DEBUG_TYPE_RESERVED10 |
10 |
Reservado. |
IMAGE_DEBUG_TYPE_CLSID |
11 |
Reservado. |
IMAGE_DEBUG_TYPE_REPRO |
16 |
Determinismo pe o reproducibilidad. |
IMAGE_DEBUG_TYPE_EX_DLLCHARACTERISTICS | 20 | Bits de características de DLL extendidos. |
Si el campo Tipo se establece en IMAGE_DEBUG_TYPE_FPO, los datos sin procesar de depuración son una matriz en la que cada miembro describe el marco de pila de una función. No todas las funciones del archivo de imagen deben tener definida información de FPO, aunque el tipo de depuración sea FPO. Se supone que las funciones que no tienen información de FPO tienen marcos de pila normales. El formato de la información de FPO es el siguiente:
#define FRAME_FPO 0
#define FRAME_TRAP 1
#define FRAME_TSS 2
typedef struct _FPO_DATA {
DWORD ulOffStart; // offset 1st byte of function code
DWORD cbProcSize; // # bytes in function
DWORD cdwLocals; // # bytes in locals/4
WORD cdwParams; // # bytes in params/4
WORD cbProlog : 8; // # bytes in prolog
WORD cbRegs : 3; // # regs saved
WORD fHasSEH : 1; // TRUE if SEH in func
WORD fUseBP : 1; // TRUE if EBP has been allocated
WORD reserved : 1; // reserved for future use
WORD cbFrame : 2; // frame type
} FPO_DATA;
La presencia de una entrada de tipo IMAGE_DEBUG_TYPE_REPRO indica que el archivo PE está integrado de una manera de lograr el determinismo o reproducibilidad. Si la entrada no cambia, se garantiza que el archivo PE de salida sea bit-for-bit idéntico independientemente de cuándo o dónde se produzca el PE. Varios campos de marca de fecha y hora del archivo PE se rellenan con parte o todos los bits de un valor hash calculado que usa el contenido del archivo PE como entrada y, por lo tanto, ya no representan la fecha y hora reales en que se produce un archivo PE o datos específicos relacionados dentro del PE. Los datos sin procesar de esta entrada de depuración pueden estar vacíos o pueden contener un valor hash calculado precedido por un valor de cuatro bytes que representa la longitud del valor hash.
Si el campo Tipo se establece en IMAGE_DEBUG_TYPE_EX_DLLCHARACTERISTICS, los datos sin procesar de depuración contienen bits de características de DLL extendidas, además de los que podrían establecerse en el encabezado opcional de la imagen. Consulte Características de DLL en la sección Encabezado opcional Windows-Specific Campos (solo imagen).
Características de DLL extendidas
Los valores siguientes se definen para los bits de características de DLL extendidas.
Constante | Value | Descripción |
---|---|---|
IMAGE_DLLCHARACTERISTICS_EX_CET_COMPAT | 0x0001 | La imagen es compatible con la pila de sombras de la tecnología de cumplimiento de flujo de control (CET). |
.debug$F (solo objeto)
Los datos de esta sección se han reemplazado en visual C++ versión 7.0 y posteriores por un conjunto más extenso de datos que se emite en una subsección .debug$S .
Los archivos de objeto pueden contener secciones .debug$F cuyo contenido sea uno o varios registros FPO_DATA (información de omisión del puntero de marco). Vea "IMAGE_DEBUG_TYPE_FPO" en Tipo de depuración.
El enlazador reconoce estos registros .debug$F . Si se genera información de depuración, el enlazador ordena los registros de FPO_DATA por procedimiento RVA y genera una entrada de directorio de depuración para ellos.
El compilador no debe generar registros de FPO para procedimientos que tengan un formato de marco estándar.
.debug$S (solo objeto)
Esta sección contiene información de depuración de Visual C++ (información simbólica).
.debug$P (solo objeto)
Esta sección contiene información de depuración de Visual C++ (información precompilada). Estos son tipos compartidos entre todos los objetos que se compilaron mediante el encabezado precompilado que se generó con este objeto.
.debug$T (solo objeto)
Esta sección contiene información de depuración de Visual C++ (información de tipo).
Compatibilidad del vinculador con la información de depuración de Microsoft
Para admitir la información de depuración, el enlazador:
Recopila todos los datos de depuración pertinentes de las secciones .debug$F, debug$S, .debug$P y .debug$T .
Procesa esos datos junto con la información de depuración generada por el enlazador en el archivo PDB y crea una entrada de directorio de depuración para hacer referencia a ellos.
Sección .drectve (solo objeto)
Una sección es una sección de directiva si tiene la marca IMAGE_SCN_LNK_INFO establecida en el encabezado de sección y tiene el nombre de sección .drectve . El enlazador quita una sección .drectve después de procesar la información, por lo que la sección no aparece en el archivo de imagen que se está vinculando.
Una sección .drectve consta de una cadena de texto que se puede codificar como ANSI o UTF-8. Si el marcador de orden de bytes UTF-8 (BOM, un prefijo de tres bytes que consta de 0xEF, 0xBB y 0xBF) no está presente, la cadena de directiva se interpreta como ANSI. La cadena de directiva es una serie de opciones del enlazador separadas por espacios. Cada opción contiene un guión, el nombre de la opción y cualquier atributo adecuado. Si una opción contiene espacios, la opción debe ir entre comillas. La sección .drectve no debe tener reubicaciones ni números de línea.
La sección .edata (solo imagen)
La sección de exportación de datos, denominada .edata, contiene información sobre los símbolos a los que otras imágenes pueden acceder a través de la vinculación dinámica. Por lo general, los símbolos exportados se encuentran en archivos DLL, pero los archivos DLL también pueden importar símbolos.
A continuación se describe información general sobre la estructura general de la sección de exportación. Las tablas descritas suelen ser contiguas en el archivo en el orden mostrado (aunque esto no es necesario). Solo la tabla de directorios de exportación y la tabla de direcciones de exportación son necesarias para exportar símbolos como ordinales. (Un ordinal es una exportación a la que accede directamente su índice de tabla de direcciones de exportación). La tabla de puntero de nombre, la tabla ordinal y la tabla de nombres de exportación existen para admitir el uso de nombres de exportación.
Nombre de la tabla | Descripción |
---|---|
Exportar tabla de directorios |
Una tabla con una sola fila (a diferencia del directorio de depuración). Esta tabla indica las ubicaciones y los tamaños de las demás tablas de exportación. |
Exportar tabla de direcciones |
Matriz de RVAs de símbolos exportados. Estas son las direcciones reales de las funciones exportadas y los datos dentro de las secciones de código y datos ejecutables. Otros archivos de imagen pueden importar un símbolo mediante un índice para esta tabla (un ordinal) o, opcionalmente, mediante el nombre público que corresponde al ordinal si se define un nombre público. |
Tabla de punteros de nombre |
Matriz de punteros a los nombres de exportación públicos, ordenados en orden ascendente. |
Tabla ordinal |
Matriz de los ordinales que corresponden a los miembros de la tabla de punteros de nombre. La correspondencia es por posición; por lo tanto, la tabla de puntero de nombre y la tabla ordinal deben tener el mismo número de miembros. Cada ordinal es un índice en la tabla de direcciones de exportación. |
Exportar tabla de nombres |
Una serie de cadenas ASCII terminadas en null. Miembros del punto de tabla de puntero de nombre en esta área. Estos nombres son los nombres públicos a través de los cuales se importan y exportan los símbolos; no son necesariamente iguales que los nombres privados que se usan en el archivo de imagen. |
Cuando otro archivo de imagen importa un símbolo por nombre, el cargador de Win32 busca en la tabla de punteros de nombre una cadena coincidente. Si se encuentra una cadena coincidente, el ordinal asociado se identifica buscando el miembro correspondiente en la tabla ordinal (es decir, el miembro de la tabla ordinal con el mismo índice que el puntero de cadena encontrado en la tabla de punteros de nombre). El ordinal resultante es un índice en la tabla de direcciones de exportación, que proporciona la ubicación real del símbolo deseado. Un ordinal puede tener acceso a cada símbolo de exportación.
Cuando otro archivo de imagen importa un símbolo por ordinal, no es necesario buscar en la tabla de punteros de nombre una cadena coincidente. Por lo tanto, el uso directo de un ordinal es más eficaz. Sin embargo, un nombre de exportación es más fácil de recordar y no requiere que el usuario conozca el índice de tabla del símbolo.
Exportar tabla de directorios
La información del símbolo de exportación comienza con la tabla de directorios de exportación, que describe el resto de la información del símbolo de exportación. La tabla de directorios de exportación contiene información de direcciones que se usa para resolver las importaciones en los puntos de entrada de esta imagen.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Exportar marcas |
Reservado, debe ser 0. |
4 |
4 |
Marca de fecha y hora |
Hora y fecha en que se crearon los datos de exportación. |
8 |
2 |
Major Version |
Número de versión principal. El usuario puede establecer los números de versión principal y secundaria. |
10 |
2 |
Minor Version |
Número de versión secundaria. |
12 |
4 |
Nombre de RVA |
Dirección de la cadena ASCII que contiene el nombre del archivo DLL. Esta dirección es relativa a la base de imágenes. |
16 |
4 |
Ordinal Base |
Número ordinal inicial para las exportaciones de esta imagen. Este campo especifica el número ordinal inicial de la tabla de direcciones de exportación. Normalmente se establece en 1. |
20 |
4 |
Entradas de tabla de direcciones |
Número de entradas de la tabla de direcciones de exportación. |
24 |
4 |
Número de punteros de nombre |
Número de entradas de la tabla de punteros de nombre. También es el número de entradas de la tabla ordinal. |
28 |
4 |
Exportación de RVA de tabla de direcciones |
Dirección de la tabla de direcciones de exportación, relativa a la base de imágenes. |
32 |
4 |
RVA de puntero de nombre |
Dirección de la tabla de punteros de nombre de exportación, relativa a la base de imágenes. El tamaño de la tabla lo asigna el campo Número de punteros de nombre. |
36 |
4 |
RVA de tabla ordinal |
Dirección de la tabla ordinal, relativa a la base de la imagen. |
Exportar tabla de direcciones
La tabla de direcciones de exportación contiene la dirección de los puntos de entrada exportados y los datos exportados y los absolutos. Un número ordinal se usa como índice en la tabla de direcciones de exportación.
Cada entrada de la tabla de direcciones de exportación es un campo que usa uno de los dos formatos de la tabla siguiente. Si la dirección especificada no está dentro de la sección de exportación (tal como se define en la dirección y la longitud indicadas en el encabezado opcional), el campo es una RVA de exportación, que es una dirección real en el código o los datos. De lo contrario, el campo es una RVA de reenviador, que asigna un nombre a un símbolo en otro archivo DLL.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Exportación de RVA |
Dirección del símbolo exportado cuando se carga en la memoria, en relación con la base de imágenes. Por ejemplo, la dirección de una función exportada. |
0 |
4 |
RVA del reenviador |
Puntero a una cadena ASCII terminada en null en la sección de exportación. Esta cadena debe estar dentro del intervalo proporcionado por la entrada del directorio de datos de la tabla de exportación. Consulte Directorios de datos de encabezado opcionales (solo imagen). Esta cadena proporciona el nombre del archivo DLL y el nombre de la exportación (por ejemplo, "MYDLL.expfunc") o el nombre del archivo DLL y el número ordinal de la exportación (por ejemplo, "MYDLL.#27"). |
Una RVA de reenviador exporta una definición de otra imagen, lo que hace que aparezca como si fuera exportada por la imagen actual. Por lo tanto, el símbolo se importa y exporta simultáneamente.
Por ejemplo, en Kernel32.dll en Windows XP, la exportación denominada "HeapAlloc" se reenvía a la cadena "NTDLL". RtlAllocateHeap." Esto permite a las aplicaciones usar el módulo específico de Windows XP Ntdll.dll sin contener realmente referencias de importación. La tabla de importación de la aplicación solo hace referencia a Kernel32.dll. Por lo tanto, la aplicación no es específica de Windows XP y se puede ejecutar en cualquier sistema Win32.
Exportar tabla de puntero de nombre
La tabla de punteros de nombre de exportación es una matriz de direcciones (RVAs) en la tabla de nombres de exportación. Los punteros son de 32 bits cada uno y son relativos a la base de imágenes. Los punteros se ordenan léxicamente para permitir búsquedas binarias.
Un nombre de exportación solo se define si la tabla de punteros de nombre de exportación contiene un puntero a él.
Exportar tabla ordinal
La tabla ordinal de exportación es una matriz de índices no sesgados de 16 bits en la tabla de direcciones de exportación. Los ordinales sesgados por el campo Base ordinal de la tabla de directorios de exportación. Es decir, la base ordinal debe restarse de los ordinales para obtener índices true en la tabla de direcciones de exportación.
La tabla de punteros de nombre de exportación y la tabla ordinal de exportación forman dos matrices paralelas separadas para permitir la alineación de campos naturales. Estas dos tablas, en efecto, funcionan como una tabla, en la que la columna Export Name Pointer apunta a un nombre público (exportado) y la columna Export Ordinal proporciona el ordinal correspondiente para ese nombre público. Un miembro de la tabla de punteros de nombre de exportación y un miembro de la tabla ordinal de exportación están asociados teniendo la misma posición (índice) en sus respectivas matrices.
Por lo tanto, cuando se busca en la tabla de punteros de nombre de exportación y se encuentra una cadena coincidente en la posición i, el algoritmo para buscar la RVA del símbolo y el ordinal sesgado es:
i = Search_ExportNamePointerTable (name);
ordinal = ExportOrdinalTable [i];
rva = ExportAddressTable [ordinal];
biased_ordinal = ordinal + OrdinalBase;
Al buscar un símbolo por (sesgado) ordinal, el algoritmo para buscar la RVA y el nombre del símbolo es:
ordinal = biased_ordinal - OrdinalBase;
i = Search_ExportOrdinalTable (ordinal);
rva = ExportAddressTable [ordinal];
name = ExportNameTable [i];
Exportar tabla de nombres
La tabla de nombres de exportación contiene los datos de cadena reales a los que apunta la tabla de punteros de nombre de exportación. Las cadenas de esta tabla son nombres públicos que otras imágenes pueden usar para importar los símbolos. Estos nombres de exportación pública no son necesariamente los mismos que los nombres de símbolos privados que los símbolos tienen en su propio archivo de imagen y código fuente, aunque pueden ser.
Cada símbolo exportado tiene un valor ordinal, que es solo el índice en la tabla de direcciones de exportación. Sin embargo, el uso de nombres de exportación es opcional. Algunos, todos o ninguno de los símbolos exportados pueden tener nombres de exportación. En el caso de los símbolos exportados que tienen nombres de exportación, las entradas correspondientes de la tabla de punteros de nombre de exportación y la tabla ordinal de exportación funcionan conjuntamente para asociar cada nombre a un ordinal.
La estructura de la tabla de nombres de exportación es una serie de cadenas ASCII terminadas en null de longitud variable.
La sección .idata
Todos los archivos de imagen que importan símbolos, incluidos prácticamente todos los archivos ejecutables (EXE), tienen una sección .idata. A continuación se muestra un diseño de archivo típico para la información de importación:
Tabla de directorios
Entrada de directorio NULL
Tabla de búsqueda de importación de DLL1
Null
Tabla de búsqueda de importación de DLL2
Null
Tabla de búsqueda de importación de DLL3
Null
tabla de Hint-Name
Importar tabla de directorios
La información de importación comienza con la tabla de directorios de importación, que describe el resto de la información de importación. La tabla de directorios de importación contiene información de direcciones que se usa para resolver las referencias de corrección a los puntos de entrada dentro de una imagen DLL. La tabla de directorios de importación consta de una matriz de entradas de directorio de importación, una entrada para cada DLL a la que hace referencia la imagen. La última entrada de directorio está vacía (rellena con valores NULL), que indica el final de la tabla de directorios.
Cada entrada de directorio de importación tiene el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Importación de RVA de tabla de búsqueda (características) |
RVA de la tabla de búsqueda de importación. Esta tabla contiene un nombre o ordinal para cada importación. (El nombre "Características" se usa en Winnt.h, pero ya no describe este campo). |
4 |
4 |
Marca de fecha y hora |
Marca que se establece en cero hasta que se enlaza la imagen. Una vez enlazada la imagen, este campo se establece en la marca de tiempo o datos del archivo DLL. |
8 |
4 |
Cadena de reenviador |
Índice de la primera referencia del reenviador. |
12 |
4 |
Nombre de RVA |
Dirección de una cadena ASCII que contiene el nombre del archivo DLL. Esta dirección es relativa a la base de imágenes. |
16 |
4 |
Importación de RVA de tabla de direcciones (tabla Thunk) |
RVA de la tabla de direcciones de importación. El contenido de esta tabla es idéntico al contenido de la tabla de búsqueda de importación hasta que se enlaza la imagen. |
Importar tabla de búsqueda
Una tabla de búsqueda de importación es una matriz de números de 32 bits para PE32 o una matriz de números de 64 bits para PE32+. Cada entrada usa el formato de campo de bits que se describe en la tabla siguiente. En este formato, el bit 31 es el bit más significativo para PE32 y el bit 63 es el bit más significativo para PE32+. La colección de estas entradas describe todas las importaciones de un archivo DLL determinado. La última entrada se establece en cero (NULL) para indicar el final de la tabla.
Bit(s) | Size | Campo de bit | Descripción |
---|---|---|---|
31/63 |
1 |
Marca ordinal/nombre |
Si se establece este bit, impórtelo por ordinal. De lo contrario, importe por nombre. El bit se enmascara como 0x80000000 para PE32, 0x8000000000000000 para PE32+. |
15-0 |
16 |
Número ordinal |
Número ordinal de 16 bits. Este campo solo se usa si el campo de bits Ordinal/Name Flag es 1 (importar por ordinal). Los bits 30-15 o 62-15 deben ser 0. |
30-0 |
31 |
RVA de tabla de sugerencias y nombres |
RVA de 31 bits de una entrada de tabla de sugerencias o nombres. Este campo solo se usa si el campo de bits Ordinal/Name Flag es 0 (importar por nombre). Para los bits PE32+ 62-31 debe ser cero. |
Tabla de sugerencias y nombres
Una tabla de sugerencias o nombres es suficiente para toda la sección de importación. Cada entrada de la tabla hint/name tiene el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
2 |
Pista |
Índice en la tabla de punteros de nombre de exportación. Primero se intenta una coincidencia con este valor. Si se produce un error, se realiza una búsqueda binaria en la tabla de punteros de nombre de exportación del archivo DLL. |
2 |
variable |
Nombre |
Cadena ASCII que contiene el nombre que se va a importar. Esta es la cadena que debe coincidir con el nombre público en el archivo DLL. Esta cadena distingue mayúsculas de minúsculas y termina con un byte nulo. |
* |
0 o 1 |
Pad |
Byte de relleno cero final que aparece después del byte nulo final, si es necesario, para alinear la siguiente entrada en un límite par. |
Importar tabla de direcciones
La estructura y el contenido de la tabla de direcciones de importación son idénticas a las de la tabla de búsqueda de importación, hasta que se enlaza el archivo. Durante el enlace, las entradas de la tabla de direcciones de importación se sobrescriben con las direcciones de 32 bits (para PE32) o 64 bits (para PE32+) de los símbolos que se van a importar. Estas direcciones son las direcciones de memoria reales de los símbolos, aunque técnicamente todavía se denominan "direcciones virtuales". El cargador normalmente procesa el enlace.
La sección .pdata
La sección .pdata contiene una matriz de entradas de tabla de funciones que se usan para el control de excepciones. Señala la entrada de la tabla de excepciones en el directorio de datos de imagen. Las entradas deben ordenarse según las direcciones de función (el primer campo de cada estructura) antes de emitirse en la imagen final. La plataforma de destino determina cuál de las tres variaciones de formato de entrada de tabla de funciones que se describen a continuación se usa.
En el caso de las imágenes MIPS de 32 bits, las entradas de la tabla de funciones tienen el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Dirección inicial |
Va de la función correspondiente. |
4 |
4 |
Dirección final |
Va del final de la función. |
8 |
4 |
Controlador de excepciones |
Puntero al controlador de excepciones que se va a ejecutar. |
12 |
4 |
Datos del controlador |
Puntero a información adicional que se va a pasar al controlador. |
16 |
4 |
Dirección final del prólogo |
Va del final del prólogo de la función. |
Para las plataformas de Windows CE arm, PowerPC, SH3 y SH4, las entradas de la tabla de funciones tienen el siguiente formato:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Dirección inicial |
Va de la función correspondiente. |
4 |
8 bits |
Longitud del prólogo |
Número de instrucciones del prólogo de la función. |
4 |
22 bits |
Longitud de la función |
Número de instrucciones de la función. |
4 |
1 bit |
Marca de 32 bits |
Si se establece, la función consta de instrucciones de 32 bits. Si está claro, la función consta de instrucciones de 16 bits. |
4 |
1 bit |
Marca de excepción |
Si se establece, existe un controlador de excepciones para la función . De lo contrario, no existe ningún controlador de excepciones. |
Para las plataformas x64 e Itanium, las entradas de la tabla de funciones tienen el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Dirección inicial |
RVA de la función correspondiente. |
4 |
4 |
Dirección final |
RVA del final de la función. |
8 |
4 |
Información de desenredado |
RVA de la información de desenredado. |
Sección .reloc (solo imagen)
La tabla de reubicación base contiene entradas para todas las reubicaciones base de la imagen. El campo Tabla de reubicación base en los directorios de datos de encabezado opcionales proporciona el número de bytes en la tabla de reubicación base. Para obtener más información, vea Directorios de datos de encabezado opcionales (solo imagen). La tabla de reubicación base se divide en bloques. Cada bloque representa las reubicaciones base de una página 4K. Cada bloque debe iniciarse en un límite de 32 bits.
El cargador no es necesario para procesar reubicaciones base resueltas por el enlazador, a menos que la imagen de carga no se pueda cargar en la base de imagen especificada en el encabezado PE.
Bloque de reubicación base
Cada bloque de reubicación base comienza con la siguiente estructura:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
RVA de página |
La base de imagen más la RVA de página se agrega a cada desplazamiento para crear el VA donde se debe aplicar la reubicación base. |
4 |
4 |
Tamaño de bloque |
Número total de bytes en el bloque de reubicación base, incluidos los campos RVA de página y Tamaño de bloque y los campos Tipo/Desplazamiento siguientes. |
A continuación, el campo Tamaño de bloque va seguido de cualquier número de entradas de campo Tipo o Desplazamiento. Cada entrada es word (2 bytes) y tiene la estructura siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 bits |
Tipo |
Almacenado en los 4 bits altos de WORD, un valor que indica el tipo de reubicación base que se va a aplicar. Para obtener más información, vea Tipos de reubicación base. |
0 |
12 bits |
Offset |
Almacenado en los 12 bits restantes de WORD, un desplazamiento de la dirección inicial que se especificó en el campo RVA de página del bloque. Este desplazamiento especifica dónde se aplicará la reubicación base. |
Para aplicar una reubicación base, la diferencia se calcula entre la dirección base preferida y la base donde se carga realmente la imagen. Si la imagen se carga en su base preferida, la diferencia es cero y, por tanto, no es necesario aplicar reubicaciones base.
Tipos de reubicación base
Constante | Value | Descripción |
---|---|---|
IMAGE_REL_BASED_ABSOLUTE |
0 |
Se omite la reubicación base. Este tipo se puede usar para rellenar un bloque. |
IMAGE_REL_BASED_HIGH |
1 |
La reubicación base agrega los 16 bits altos de la diferencia al campo de 16 bits en desplazamiento. El campo de 16 bits representa el valor alto de una palabra de 32 bits. |
IMAGE_REL_BASED_LOW |
2 |
La reubicación base agrega los 16 bits bajos de la diferencia al campo de 16 bits en desplazamiento. El campo de 16 bits representa la mitad baja de una palabra de 32 bits. |
IMAGE_REL_BASED_HIGHLOW |
3 |
La reubicación base aplica todos los 32 bits de la diferencia al campo de 32 bits en desplazamiento. |
IMAGE_REL_BASED_HIGHADJ |
4 |
La reubicación base agrega los 16 bits altos de la diferencia al campo de 16 bits en desplazamiento. El campo de 16 bits representa el valor alto de una palabra de 32 bits. Los 16 bits bajos del valor de 32 bits se almacenan en la palabra de 16 bits que sigue a esta reubicación base. Esto significa que esta reubicación base ocupa dos ranuras. |
IMAGE_REL_BASED_MIPS_JMPADDR |
5 |
La interpretación de reubicación depende del tipo de máquina. Cuando el tipo de máquina es MIPS, la reubicación base se aplica a una instrucción de salto de MIPS. |
IMAGE_REL_BASED_ARM_MOV32 |
5 |
Esta reubicación solo es significativa cuando el tipo de máquina es ARM o Thumb. La reubicación base aplica la dirección de 32 bits de un símbolo en un par consecutivo de instrucciones MOVW/MOVT. |
IMAGE_REL_BASED_RISCV_HIGH20 |
5 |
Esta reubicación solo es significativa cuando el tipo de máquina es RISC-V. La reubicación base se aplica a los 20 bits altos de una dirección absoluta de 32 bits. |
6 |
Reservado, debe ser cero. |
|
IMAGE_REL_BASED_THUMB_MOV32 |
7 |
Esta reubicación solo es significativa cuando el tipo de máquina es Thumb. La reubicación base aplica la dirección de 32 bits de un símbolo a un par consecutivo de instrucciones MOVW/MOVT. |
IMAGE_REL_BASED_RISCV_LOW12I |
7 |
Esta reubicación solo es significativa cuando el tipo de máquina es RISC-V. La reubicación base se aplica a los 12 bits bajos de una dirección absoluta de 32 bits formada en formato de instrucción RISC-V I. |
IMAGE_REL_BASED_RISCV_LOW12S |
8 |
Esta reubicación solo es significativa cuando el tipo de máquina es RISC-V. La reubicación base se aplica a los 12 bits bajos de una dirección absoluta de 32 bits formada en formato de instrucción de tipo S de RISC-V. |
IMAGE_REL_BASED_LOONGARCH32_MARK_LA |
8 |
Esta reubicación solo es significativa cuando el tipo de máquina es LoongArch de 32 bits. La reubicación base se aplica a una dirección absoluta de 32 bits formada en dos instrucciones consecutivas. |
IMAGE_REL_BASED_LOONGARCH64_MARK_LA |
8 |
Esta reubicación solo es significativa cuando el tipo de máquina es LoongArch de 64 bits. La reubicación base se aplica a una dirección absoluta de 64 bits formada en cuatro instrucciones consecutivas. |
IMAGE_REL_BASED_MIPS_JMPADDR16 |
9 |
La reubicación solo es significativa cuando el tipo de máquina es MIPS. La reubicación base se aplica a una instrucción de salto MIPS16. |
IMAGE_REL_BASED_DIR64 |
10 |
La reubicación base aplica la diferencia al campo de 64 bits en desplazamiento. |
Sección .tls
La sección .tls proporciona compatibilidad directa con PE y COFF para el almacenamiento local de subprocesos estáticos (TLS). TLS es una clase de almacenamiento especial que Windows admite en la que un objeto de datos no es una variable automática (pila), pero es local para cada subproceso individual que ejecuta el código. Por lo tanto, cada subproceso puede mantener un valor diferente para una variable declarada mediante TLS.
Tenga en cuenta que cualquier cantidad de datos TLS se puede admitir mediante las llamadas API TlsAlloc, TlsFree, TlsSetValue y TlsGetValue. La implementación de PE o COFF es un enfoque alternativo para usar la API y tiene la ventaja de ser más sencillo desde el punto de vista del programador de lenguaje de alto nivel. Esta implementación permite definir e inicializar datos TLS de forma similar a variables estáticas normales en un programa. Por ejemplo, en Visual C++, se puede definir una variable TLS estática como se indica a continuación, sin usar la API de Windows:
__declspec (thread) int tlsFlag = 1;
Para admitir esta construcción de programación, la sección PE y COFF .tls especifica la siguiente información: datos de inicialización, rutinas de devolución de llamada para la inicialización y finalización por subproceso, y el índice TLS, que se explica en la siguiente explicación.
Nota:
Los objetos de datos TLS declarados estáticamente solo se pueden usar en archivos de imagen cargados estáticamente. Este hecho hace que no sea confiable usar datos TLS estáticos en un archivo DLL a menos que sepa que el archivo DLL, o cualquier elemento vinculado estáticamente con él, nunca se cargará dinámicamente con la función loadLibrary API.
El código ejecutable accede a un objeto de datos TLS estático mediante los pasos siguientes:
En el momento del vínculo, el enlazador establece el campo Dirección del índice del directorio TLS. Este campo apunta a una ubicación donde el programa espera recibir el índice TLS.
La biblioteca en tiempo de ejecución de Microsoft facilita este proceso definiendo una imagen de memoria del directorio TLS y dándole el nombre especial "__tls_used" (plataformas Intel x86) o "_tls_used" (otras plataformas). El enlazador busca esta imagen de memoria y usa los datos allí para crear el directorio TLS. Otros compiladores que admiten TLS y funcionan con el enlazador de Microsoft deben usar esta misma técnica.
Cuando se crea un subproceso, el cargador comunica la dirección de la matriz TLS del subproceso colocando la dirección del bloque de entorno de subprocesos (TEB) en el registro FS. Un puntero a la matriz TLS está en el desplazamiento de 0x2C desde el principio de TEB. Este comportamiento es específico de Intel x86.
El cargador asigna el valor del índice TLS al lugar indicado por el campo Dirección del índice.
El código ejecutable recupera el índice TLS y también la ubicación de la matriz TLS.
El código usa el índice TLS y la ubicación de la matriz TLS (multiplicando el índice por 4 y usándolo como desplazamiento a la matriz) para obtener la dirección del área de datos TLS del programa y el módulo especificados. Cada subproceso tiene su propio área de datos TLS, pero es transparente para el programa, que no necesita saber cómo se asignan los datos para los subprocesos individuales.
Se tiene acceso a un objeto de datos TLS individual como un desplazamiento fijo en el área de datos TLS.
La matriz TLS es una matriz de direcciones que el sistema mantiene en cada subproceso. Cada dirección de esta matriz proporciona la ubicación de los datos TLS de un módulo determinado (EXE o DLL) dentro del programa. El índice TLS indica qué miembro de la matriz se va a usar. El índice es un número (significativo solo para el sistema) que identifica el módulo.
Directorio TLS
El directorio TLS tiene el formato siguiente:
Desplazamiento (PE32/ PE32+) | Tamaño (PE32/ PE32+) | Campo | Descripción |
---|---|---|---|
0 |
4/8 |
Va de inicio de datos sin procesar |
Dirección inicial de la plantilla TLS. La plantilla es un bloque de datos que se usa para inicializar los datos TLS. El sistema copia todos estos datos cada vez que se crea un subproceso, por lo que no debe estar dañado. Tenga en cuenta que esta dirección no es una RVA; es una dirección para la que debe haber una reubicación base en la sección .reloc. |
4/8 |
4/8 |
VA de finalización de datos sin procesar |
Dirección del último byte de TLS, excepto el relleno cero. Al igual que con el campo VA de inicio de datos sin procesar, este es un VA, no una RVA. |
8/16 |
4/8 |
Dirección del índice |
Ubicación que se va a recibir el índice TLS, que asigna el cargador. Esta ubicación se encuentra en una sección de datos normal, por lo que se puede asignar un nombre simbólico al programa. |
12/24 |
4/8 |
Dirección de devoluciones de llamada |
Puntero a una matriz de funciones de devolución de llamada TLS. La matriz está terminada en null, por lo que si no se admite ninguna función de devolución de llamada, este campo apunta a 4 bytes establecido en cero. Para obtener información sobre el prototipo de estas funciones, consulte Funciones de devolución de llamada tls. |
16/32 |
4 |
Tamaño de relleno cero |
Tamaño en bytes de la plantilla, más allá de los datos inicializados delimitados por los campos VA de inicio de datos sin procesar y VA de finalización de datos sin procesar. El tamaño total de la plantilla debe ser el mismo que el tamaño total de los datos TLS en el archivo de imagen. El relleno cero es la cantidad de datos que viene después de los datos inicializados distintos de cero. |
20/36 |
4 |
Características |
Los cuatro bits [23:20] describen la información de alineación. Los valores posibles son los definidos como IMAGE_SCN_ALIGN_*, que también se usan para describir la alineación de la sección en los archivos de objeto. Los otros 28 bits están reservados para uso futuro. |
Funciones de devolución de llamada tls
El programa puede proporcionar una o varias funciones de devolución de llamada TLS para admitir la inicialización y terminación adicionales para los objetos de datos TLS. Un uso típico de esta función de devolución de llamada sería llamar a constructores y destructores para objetos.
Aunque normalmente no hay más de una función de devolución de llamada, se implementa una devolución de llamada como una matriz para que sea posible agregar funciones de devolución de llamada adicionales si lo desea. Si hay más de una función de devolución de llamada, se llama a cada función en el orden en que su dirección aparece en la matriz. Un puntero nulo finaliza la matriz. Es perfectamente válido tener una lista vacía (no se admite ninguna devolución de llamada), en cuyo caso la matriz de devolución de llamada tiene exactamente un puntero null-un miembro.
El prototipo de una función de devolución de llamada (a la que apunta un puntero de tipo PIMAGE_TLS_CALLBACK) tiene los mismos parámetros que una función de punto de entrada dll:
typedef VOID
(NTAPI *PIMAGE_TLS_CALLBACK) (
PVOID DllHandle,
DWORD Reason,
PVOID Reserved
);
El parámetro Reserved debe establecerse en cero. El parámetro Reason puede tomar los siguientes valores:
Configuración | Value | Descripción |
---|---|---|
DLL_PROCESS_ATTACH |
1 |
Se ha iniciado un nuevo proceso, incluido el primer subproceso. |
DLL_THREAD_ATTACH |
2 |
Se ha creado un nuevo subproceso. Esta notificación se envió para todo menos el primer subproceso. |
DLL_THREAD_DETACH |
3 |
Un subproceso está a punto de terminarse. Esta notificación se envió para todo menos el primer subproceso. |
DLL_PROCESS_DETACH |
0 |
Un proceso está a punto de finalizar, incluido el subproceso original. |
Estructura de configuración de carga (solo imagen)
La estructura de configuración de carga (IMAGE_LOAD_CONFIG_DIRECTORY) se usó anteriormente en casos muy limitados en el propio sistema operativo Windows NT para describir varias características demasiado difíciles o demasiado grandes para describir en el encabezado de archivo o en el encabezado opcional de la imagen. Las versiones actuales del enlazador de Microsoft y Windows XP y versiones posteriores de Windows usan una nueva versión de esta estructura para sistemas basados en x86 de 32 bits que incluyen tecnología SEH reservada. Esto proporciona una lista de controladores de excepciones estructurados seguros que el sistema operativo usa durante el envío de excepciones. Si la dirección del controlador reside en el intervalo de VA de una imagen y se marca como compatible con SEH reservado (es decir, IMAGE_DLLCHARACTERISTICS_NO_SEH está claro en el campo DllCharacteristics del encabezado opcional, como se ha descrito anteriormente), el controlador debe estar en la lista de controladores seguros conocidos para esa imagen. De lo contrario, el sistema operativo finaliza la aplicación. Esto ayuda a evitar la vulnerabilidad de seguridad del controlador de excepciones "x86" que se ha utilizado en el pasado para tomar el control del sistema operativo.
El enlazador de Microsoft proporciona automáticamente una estructura de configuración de carga predeterminada para incluir los datos SEH reservados. Si el código de usuario ya proporciona una estructura de configuración de carga, debe incluir los nuevos campos SEH reservados. De lo contrario, el enlazador no puede incluir los datos SEH reservados y la imagen no está marcada como contenedora de SEH reservada.
Cargar directorio de configuración
La entrada del directorio de datos de una estructura de configuración de carga SEH reservada previamente debe especificar un tamaño determinado de la estructura de configuración de carga, ya que el cargador del sistema operativo siempre espera que sea un valor determinado. A este respecto, el tamaño es realmente solo una comprobación de versión. Para la compatibilidad con Windows XP y versiones anteriores de Windows, el tamaño debe ser 64 para imágenes x86.
Diseño de configuración de carga
La estructura de configuración de carga tiene el siguiente diseño para archivos PE de 32 y 64 bits:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Características |
Marcas que indican los atributos del archivo, actualmente sin usar. |
4 |
4 |
TimeDateStamp |
Valor de marca de fecha y hora. El valor se representa en el número de segundos transcurridos desde medianoche (00:00:00), 1 de enero de 1970, Hora coordinada universal, según el reloj del sistema. La marca de tiempo se puede imprimir mediante la función de tiempo en tiempo de ejecución de C (CRT). |
8 |
2 |
MajorVersion |
Número de versión principal. |
10 |
2 |
MinorVersion |
Número de versión secundaria. |
12 |
4 |
GlobalFlagsClear |
Las marcas del cargador global que se borrarán para este proceso a medida que el cargador inicia el proceso. |
16 |
4 |
GlobalFlagsSet |
Las marcas globales del cargador que se van a establecer para este proceso a medida que el cargador inicia el proceso. |
20 |
4 |
CriticalSectionDefaultTimeout |
Valor de tiempo de espera predeterminado que se va a usar para las secciones críticas de este proceso que se abandonan. |
24 |
4/8 |
DeCommitFreeBlockThreshold |
Memoria que se debe liberar antes de que se devuelva al sistema, en bytes. |
28/32 |
4/8 |
DeCommitTotalFreeThreshold |
Cantidad total de memoria libre, en bytes. |
32/40 |
4/8 |
LockPrefixTable |
[solo x86] Va de una lista de direcciones donde se usa el prefijo LOCK para que se puedan reemplazar por NOP en máquinas de procesador únicas. |
36/48 |
4/8 |
MaximumAllocationSize |
Tamaño máximo de asignación, en bytes. |
40/56 |
4/8 |
VirtualMemoryThreshold |
Tamaño máximo de memoria virtual, en bytes. |
44/64 |
4/8 |
ProcessAffinityMask |
Establecer este campo en un valor distinto de cero equivale a llamar a SetProcessAffinityMask con este valor durante el inicio del proceso (solo .exe) |
48/72 |
4 |
ProcessHeapFlags |
Procesar marcas de montón que corresponden al primer argumento de la función HeapCreate. Estas marcas se aplican al montón de procesos que se crea durante el inicio del proceso. |
52/76 |
2 |
CSDVersion |
Identificador de versión del Service Pack. |
54/78 |
2 |
Reservada |
Debe ser cero. |
56/80 |
4/8 |
EditList |
Reservado para su uso por el sistema. |
60/88 |
4/8 |
SecurityCookie |
Puntero a una cookie que usa La implementación de Visual C++ o GS. |
64/96 |
4/8 |
SEHandlerTable |
[solo x86] Va de la tabla ordenada de RVAs de cada controlador SE válido y único en la imagen. |
68/104 |
4/8 |
SEHandlerCount |
[solo x86] Recuento de controladores únicos de la tabla. |
72/112 |
4/8 |
GuardCFCheckFunctionPointer |
Va donde se almacena el puntero de función check-function de Control Flow Guard. |
76/120 |
4/8 |
GuardCFDispatchFunctionPointer |
Va donde se almacena el puntero de función de distribución de Control Flow Guard. |
80/128 |
4/8 |
GuardCFFunctionTable |
Va de la tabla ordenada de RVAs de cada función De Protección de flujo de control de la imagen. |
84/136 |
4/8 |
GuardCFFunctionCount |
Recuento de RVAs únicas en la tabla anterior. |
88/144 |
4 |
GuardFlags |
Control de marcas relacionadas con Flow Guard. |
92/148 |
12 |
CodeIntegrity |
Información de integridad del código. |
104/160 |
4/8 |
GuardAddressTakenIatEntryTable |
Va donde se almacena la dirección de Control Flow Guard tomada de la tabla IAT. |
108/168 |
4/8 |
GuardAddressTakenIatEntryCount |
Recuento de RVAs únicas en la tabla anterior. |
112/176 |
4/8 |
GuardLongJumpTargetTable |
Va donde se almacena la tabla de destino de salto largo de Protección de flujo de control. |
116/184 |
4/8 |
GuardLongJumpTargetCount |
Recuento de RVAs únicas en la tabla anterior. |
El campo GuardFlags contiene una combinación de una o varias de las marcas y subcampos siguientes:
El módulo realiza comprobaciones de integridad de flujo de control mediante la compatibilidad proporcionada por el sistema.
#define IMAGE_GUARD_CF_INSTRUMENTED 0x00000100
El módulo realiza comprobaciones de integridad de escritura y flujo de control.
#define IMAGE_GUARD_CFW_INSTRUMENTED 0x00000200
El módulo contiene metadatos de destino de flujo de control válidos.
#define IMAGE_GUARD_CF_FUNCTION_TABLE_PRESENT 0x00000400
El módulo no usa la cookie de seguridad /GS.
#define IMAGE_GUARD_SECURITY_COOKIE_UNUSED 0x00000800
El módulo admite IAT de carga de solo lectura.
#define IMAGE_GUARD_PROTECT_DELAYLOAD_IAT 0x00001000
Carga diferida de la tabla de importación en su propia sección .didat (sin nada más) que se puede volver a proteger libremente.
#define IMAGE_GUARD_DELAYLOAD_IAT_IN_ITS_OWN_SECTION 0x00002000
El módulo contiene información de exportación suprimida. Esto también deduce que la dirección tomada de la tabla IAT también está presente en la configuración de carga.
#define IMAGE_GUARD_CF_EXPORT_SUPPRESSION_INFO_PRESENT 0x00004000
El módulo habilita la supresión de exportaciones.
#define IMAGE_GUARD_CF_ENABLE_EXPORT_SUPPRESSION 0x00008000
El módulo contiene información de destino longjmp.
#define IMAGE_GUARD_CF_LONGJUMP_TABLE_PRESENT 0x00010000
Máscara para el subcampo que contiene el intervalo de entradas de la tabla de funciones de Control Flow Guard (es decir, el recuento adicional de bytes por entrada de tabla).
#define IMAGE_GUARD_CF_FUNCTION_TABLE_SIZE_MASK 0xF0000000
Además, el encabezado winnt.h de Windows SDK define esta macro para que la cantidad de bits cambie el valor GuardFlags a la derecha para justificar el intervalo de la tabla de funciones de Protección de flujo de control:
#define IMAGE_GUARD_CF_FUNCTION_TABLE_SIZE_SHIFT 28
La sección .rsrc
Los recursos se indexan mediante una estructura de árbol ordenada binaria de varios niveles. El diseño general puede incorporar 2**31 niveles. Sin embargo, por convención, Windows usa tres niveles:
- Lenguaje de nombre de tipo
Una serie de tablas de directorios de recursos relaciona todos los niveles de la siguiente manera: cada tabla de directorios va seguida de una serie de entradas de directorio que proporcionan el nombre o el identificador (ID) para ese nivel (tipo, nombre o nivel de lenguaje) y una dirección de una descripción de datos u otra tabla de directorios. Si la dirección apunta a una descripción de datos, los datos son una hoja del árbol. Si la dirección apunta a otra tabla de directorios, esa tabla enumera las entradas de directorio en el siguiente nivel hacia abajo.
Los identificadores de tipo, nombre e idioma de una hoja están determinados por la ruta de acceso que se toma a través de las tablas de directorio para llegar a la hoja. La primera tabla determina el identificador de tipo, la segunda tabla (a la que apunta la entrada de directorio de la primera tabla) determina el identificador de nombre y la tercera tabla determina el identificador de idioma.
La estructura general de la sección .rsrc es:
data | Descripción |
---|---|
Tablas de directorio de recursos (y entradas de directorio de recursos) |
Una serie de tablas, una para cada grupo de nodos del árbol. Todos los nodos de nivel superior (Tipo) se enumeran en la primera tabla. Las entradas de esta tabla apuntan a tablas de segundo nivel. Cada árbol de segundo nivel tiene el mismo identificador de tipo, pero los identificadores de nombre diferentes. Los árboles de tercer nivel tienen los mismos identificadores de tipo y nombre, pero diferentes identificadores de lenguaje. Cada tabla individual va seguida inmediatamente de entradas de directorio, en las que cada entrada tiene un nombre o un identificador numérico y un puntero a una descripción de datos o una tabla en el siguiente nivel inferior. |
Cadenas de directorio de recursos |
Cadenas Unicode alineadas con dos bytes, que sirven como datos de cadena a los que apuntan las entradas de directorio. |
Descripción de los datos de recursos |
Matriz de registros, a la que apuntan las tablas, que describen el tamaño real y la ubicación de los datos de recursos. Estos registros son las hojas del árbol de descripción del recurso. |
Datos de recursos |
Datos sin procesar de la sección de recursos. La información de tamaño y ubicación del campo Descripciones de datos de recursos delimita las regiones individuales de los datos de recursos. |
Tabla de directorios de recursos
Cada tabla de directorios de recursos tiene el formato siguiente. Esta estructura de datos debe considerarse el encabezado de una tabla porque la tabla está formada realmente por entradas de directorio (descritas en la sección 6.9.2, "Entradas de directorio de recursos") y esta estructura:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Características |
Marcas de recursos. Este campo está reservado para un uso futuro. Actualmente está establecido en cero. |
4 |
4 |
Marca de fecha y hora |
Hora en que el compilador de recursos creó los datos del recurso. |
8 |
2 |
Major Version |
Número de versión principal, establecido por el usuario. |
10 |
2 |
Minor Version |
Número de versión secundaria, establecido por el usuario. |
12 |
2 |
Número de entradas de nombre |
Número de entradas de directorio que siguen inmediatamente a la tabla que usan cadenas para identificar entradas de tipo, nombre o idioma (según el nivel de la tabla). |
14 |
2 |
Número de entradas de identificador |
Número de entradas de directorio inmediatamente después de las entradas Name que usan identificadores numéricos para las entradas Type, Name o Language. |
Entradas de directorio de recursos
Las entradas de directorio componen las filas de una tabla. Cada entrada de directorio de recursos tiene el formato siguiente. Si la entrada es un nombre o una entrada de identificador se indica mediante la tabla de directorios de recursos, que indica cuántas entradas de nombre e identificador siguen (recuerde que todas las entradas Name preceden a todas las entradas de id. de la tabla). Todas las entradas de la tabla se ordenan en orden ascendente: las entradas name por cadena con distinción entre mayúsculas y minúsculas y las entradas de identificador por valor numérico. Los desplazamientos son relativos a la dirección del IMAGE_DIRECTORY_ENTRY_RESOURCE DataDirectory. Consulta Emparejamiento dentro del PE: Un paseo por el formato de archivo ejecutable portable win32 para obtener más información.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Desplazamiento de nombre |
Desplazamiento de una cadena que proporciona la entrada Type, Name o Language ID, dependiendo del nivel de tabla. |
0 |
4 |
Identificador entero |
Entero de 32 bits que identifica la entrada Tipo, Nombre o Id. de idioma. |
4 |
4 |
Desplazamiento de entrada de datos |
Bit alto 0. Dirección de una entrada de datos de recursos (hoja). |
4 |
4 |
Desplazamiento del subdirectorio |
Bit alto 1. Los 31 bits inferiores son la dirección de otra tabla de directorio de recursos (el siguiente nivel inferior). |
Cadena de directorio de recursos
El área de cadena de directorio de recursos consta de cadenas Unicode, que están alineadas con palabras. Estas cadenas se almacenan juntas después de la última entrada del directorio de recursos y antes de la primera entrada de datos de recursos. Esto minimiza el impacto de estas cadenas de longitud variable en la alineación de las entradas de directorio de tamaño fijo. Cada cadena de directorio de recursos tiene el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
2 |
Length |
Tamaño de la cadena, no incluido el propio campo de longitud. |
2 |
variable |
Cadena Unicode |
Datos de cadena Unicode de longitud variable, alineados con palabras. |
Entrada de datos de recursos
Cada entrada De datos de recursos describe una unidad real de datos sin procesar en el área Datos de recursos. Una entrada De datos de recursos tiene el formato siguiente:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
RVA de datos |
Dirección de una unidad de datos de recursos en el área Datos de recursos. |
4 |
4 |
Size |
Tamaño, en bytes, de los datos de recursos a los que apunta el campo RVA de datos. |
8 |
4 |
codepage |
Página de códigos que se usa para descodificar valores de punto de código dentro de los datos del recurso. Normalmente, la página de códigos sería la página de códigos Unicode. |
12 |
4 |
Reservado, debe ser 0. |
La sección .cormeta (solo objeto)
Los metadatos clR se almacenan en esta sección. Se usa para indicar que el archivo de objeto contiene código administrado. El formato de los metadatos no está documentado, pero se puede entregar a las interfaces CLR para controlar los metadatos.
La sección .sxdata
Los controladores de excepciones válidos de un objeto se enumeran en la sección .sxdata de ese objeto. La sección está marcada como IMAGE_SCN_LNK_INFO. Contiene el índice de símbolos COFF de cada controlador válido, utilizando 4 bytes por índice.
Además, el compilador marca un objeto COFF como SEH registrado emitiendo el símbolo absoluto "@feat.00" con el LSB del campo de valor establecido en 1. Un objeto COFF sin controladores SEH registrados tendría el símbolo "@feat.00", pero ninguna sección .sxdata .
Formato de archivo de archivo (biblioteca)
- Firma de archivo de archivo
- Encabezados de miembro de archivo
- Primer miembro del vinculador
- Segundo miembro del vinculador
- Longnames (miembro)
El formato de archivo COFF proporciona un mecanismo estándar para almacenar colecciones de archivos de objetos. Estas colecciones se suelen denominar bibliotecas en la documentación de programación.
Los primeros 8 bytes de un archivo constan de la firma del archivo. El resto del archivo consta de una serie de miembros de archivo, como se indica a continuación:
Los miembros primero y segundo son "miembros del enlazador". Cada uno de estos miembros tiene su propio formato, tal como se describe en la sección Tipo de nombre de importación. Normalmente, un enlazador coloca información en estos miembros de archivo. Los miembros del enlazador contienen el directorio del archivo.
El tercer miembro es el miembro "longnames". Este miembro opcional consta de una serie de cadenas ASCII terminadas en null en las que cada cadena es el nombre de otro miembro de archivo.
El resto del archivo consta de miembros estándar (archivo de objetos). Cada uno de estos miembros contiene el contenido de un archivo de objeto en su totalidad.
Un encabezado de miembro de archivo precede a cada miembro. En la lista siguiente se muestra la estructura general de un archivo:
Firma :"!< arch>\n" |
---|
Encabezado |
---|
1.º miembro del vinculador |
Encabezado |
---|
2º miembro del vinculador |
Encabezado |
---|
Longnames (miembro) |
Encabezado |
---|
Contenido del archivo OBJ 1 (Formato COFF) |
Encabezado |
---|
Contenido del archivo OBJ 2 (Formato COFF) |
...
Encabezado |
---|
Contenido del archivo OBJ N (Formato COFF) |
Firma de archivo de archivo
La firma del archivo de archivo identifica el tipo de archivo. Cualquier utilidad (por ejemplo, un enlazador) que tome un archivo de archivo como entrada puede comprobar el tipo de archivo leyendo esta firma. La firma consta de los siguientes caracteres ASCII, en los que cada carácter siguiente se representa literalmente, excepto el carácter de nueva línea (\n):
!<arch>\n
Encabezados de miembro de archivo
Cada miembro (enlazador, longnames o miembro de archivo de objeto) está precedido por un encabezado. Un encabezado de miembro de archivo tiene el formato siguiente, en el que cada campo es una cadena de texto ASCII que se deja justificada y rellena con espacios al final del campo. No hay ningún carácter nulo de terminación en ninguno de estos campos.
Cada encabezado de miembro se inicia en la primera dirección par después del final del miembro de archivo anterior.
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
16 |
Nombre |
Nombre del miembro de archivo, con una barra diagonal (/) anexada para finalizar el nombre. Si el primer carácter es una barra diagonal, el nombre tiene una interpretación especial, como se describe en la tabla siguiente. |
16 |
12 |
Date |
Fecha y hora en que se creó el miembro de archivo: esta es la representación decimal ASCII del número de segundos desde el 1/1/1970 UCT. |
28 |
6 |
Id. de usuario |
Representación decimal ASCII del identificador de usuario. Este campo no contiene un valor significativo en las plataformas Windows porque las herramientas de Microsoft emiten todos los espacios en blanco. |
34 |
6 |
Identificador de grupo |
Representación decimal ASCII del identificador de grupo. Este campo no contiene un valor significativo en las plataformas Windows porque las herramientas de Microsoft emiten todos los espacios en blanco. |
40 |
8 |
Mode |
Representación octal ASCII del modo de archivo del miembro. Este es el valor ST_MODE de la función en tiempo de ejecución de C _wstat. |
48 |
10 |
Size |
Representación decimal ASCII del tamaño total del miembro de archivo, no incluido el tamaño del encabezado. |
58 |
2 |
Fin del encabezado |
Los dos bytes de la cadena de C "\n" (0x60 0x0A). |
El campo Nombre tiene uno de los formatos que se muestran en la tabla siguiente. Como se mencionó anteriormente, cada una de estas cadenas se deja justificada y rellena con espacios finales dentro de un campo de 16 bytes:
Contenido del campo Nombre | Descripción |
---|---|
Nombre/ |
Nombre del miembro de archivo. |
/ |
El miembro de archivo es uno de los dos miembros del enlazador. Ambos miembros del enlazador tienen este nombre. |
// |
El miembro archive es el miembro longnames, que consta de una serie de cadenas ASCII terminadas en null. El miembro longnames es el tercer miembro de archivo y es opcional. |
/n |
El nombre del miembro de archivo se encuentra en el desplazamiento n dentro del miembro longnames. El número n es la representación decimal del desplazamiento. Por ejemplo: "/26" indica que el nombre del miembro de archivo se encuentra 26 bytes más allá del principio del contenido del miembro longnames. |
Primer miembro del vinculador
El nombre del primer miembro del enlazador es "/". El primer miembro del enlazador se incluye por motivos de compatibilidad con versiones anteriores. No lo usan los enlazadores actuales, pero su formato debe ser correcto. Este miembro del enlazador proporciona un directorio de nombres de símbolos, al igual que el segundo miembro del enlazador. Para cada símbolo, la información indica dónde encontrar el miembro de archivo que contiene el símbolo.
El primer miembro del enlazador tiene el formato siguiente. Esta información aparece después del encabezado :
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Número de símbolos |
Long sin signo que contiene el número de símbolos indizado. Este número se almacena en formato big-endian. Cada miembro de archivo de objeto normalmente define uno o varios símbolos externos. |
4 |
4 * n |
Compensaciones |
Matriz de desplazamientos de archivo para los encabezados de miembro de archivo, en los que n es igual al campo Número de símbolos. Cada número de la matriz es un long sin signo almacenado en formato big-endian. Para cada símbolo denominado en la tabla de cadenas, el elemento correspondiente de la matriz de desplazamientos proporciona la ubicación del miembro de archivo que contiene el símbolo. |
* |
* |
Tabla de cadenas |
Serie de cadenas terminadas en null que asignan un nombre a todos los símbolos del directorio. Cada cadena comienza inmediatamente después del carácter NULL de la cadena anterior. El número de cadenas debe ser igual al valor del campo Número de símbolos. |
Los elementos de la matriz de desplazamientos deben organizarse en orden ascendente. Este hecho implica que los símbolos de la tabla de cadenas deben organizarse según el orden de los miembros de archivo. Por ejemplo, todos los símbolos del primer miembro de archivo de objeto tendrían que aparecer antes de los símbolos del segundo archivo de objeto.
Segundo miembro del vinculador
El segundo miembro del enlazador tiene el nombre "/", como lo hace el primer miembro del enlazador. Aunque ambos miembros del enlazador proporcionan un directorio de símbolos y miembros de archivo que los contienen, el segundo miembro del enlazador se usa en preferencia para el primero por todos los enlazadores actuales. El segundo miembro del enlazador incluye nombres de símbolos en orden léxico, lo que permite realizar búsquedas más rápidas por nombre.
El segundo miembro tiene el formato siguiente. Esta información aparece después del encabezado :
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
4 |
Número de miembros |
Long sin signo que contiene el número de miembros de archivo. |
4 |
4 * m |
Compensaciones |
Matriz de desplazamientos de archivo para los encabezados de miembro de archivo, organizados en orden ascendente. Cada desplazamiento es un long sin signo. El número m es igual al valor del campo Número de miembros. |
* |
4 |
Número de símbolos |
Long sin signo que contiene el número de símbolos indizado. Cada miembro de archivo de objeto normalmente define uno o varios símbolos externos. |
* |
2 * n |
Índices |
Matriz de índices basados en 1 (unsigned short) que asignan nombres de símbolos a desplazamientos de miembros de archivo. El número n es igual al campo Número de símbolos. Para cada símbolo denominado en la tabla de cadenas, el elemento correspondiente de la matriz Índices proporciona un índice a la matriz de desplazamientos. La matriz de desplazamientos, a su vez, proporciona la ubicación del miembro de archivo que contiene el símbolo. |
* |
* |
Tabla de cadenas |
Serie de cadenas terminadas en null que asignan un nombre a todos los símbolos del directorio. Cada cadena comienza inmediatamente después del byte null de la cadena anterior. El número de cadenas debe ser igual al valor del campo Número de símbolos. En esta tabla se enumeran todos los nombres de símbolos en orden léxico ascendente. |
Longnames (miembro)
El nombre del miembro longnames es "//". El miembro longnames es una serie de cadenas de nombres de miembros de archivo. Aquí aparece un nombre solo cuando no hay espacio suficiente en el campo Nombre (16 bytes). El miembro longnames es opcional. Puede estar vacío solo con un encabezado, o puede estar completamente ausente sin incluso un encabezado.
Las cadenas están terminadas en null. Cada cadena comienza inmediatamente después del byte null de la cadena anterior.
Formato de la biblioteca de importación
Bibliotecas de importación tradicionales, es decir, bibliotecas que describen las exportaciones de una imagen para usarlas por otra, normalmente siguen el diseño descrito en la sección 7, Formato de archivo de archivo de archivo (biblioteca). La principal diferencia es que los miembros de la biblioteca de importación contienen archivos pseudoobjetos en lugar de los reales, en los que cada miembro incluye las contribuciones de sección necesarias para compilar las tablas de importación que se describen en la sección 6.4, La sección .idata El enlazador genera este archivo al compilar la aplicación de exportación.
Las contribuciones de sección para una importación se pueden deducir de un pequeño conjunto de información. El enlazador puede generar la información completa detallada en la biblioteca de importación para cada miembro en el momento de la creación de la biblioteca o escribir solo la información canónica en la biblioteca y permitir que la aplicación que más adelante use genere los datos necesarios sobre la marcha.
En una biblioteca de importación con el formato largo, un único miembro contiene la siguiente información:
- Encabezado de miembro de archivo
- Encabezado de archivo
- Encabezados de sección
- Datos que corresponden a cada uno de los encabezados de sección
- Tabla de símbolos COFF
- Cadenas
Por el contrario, se escribe una biblioteca de importación corta de la siguiente manera:
- Encabezado de miembro de archivo
- Encabezado de importación
- Cadena de nombre de importación terminada en NULL
- Cadena de nombre dll terminada en NULL
Esta información es suficiente para reconstruir con precisión todo el contenido del miembro en el momento de su uso.
Importar encabezado
El encabezado import contiene los siguientes campos y desplazamientos:
Offset | Size | Campo | Descripción |
---|---|---|---|
0 |
2 |
Sig1 |
Debe ser IMAGE_FILE_MACHINE_UNKNOWN. Para obtener más información, consulte Tipos de máquina. |
2 |
2 |
Sig2 |
Debe ser 0xFFFF. |
4 |
2 |
Versión |
Versión de la estructura. |
6 |
2 |
Máquina |
Número que identifica el tipo de máquina de destino. Para obtener más información, consulte Tipos de máquina. |
8 |
4 |
Sello de Time-Date |
Hora y fecha en que se creó el archivo. |
12 |
4 |
Tamaño de los datos |
Tamaño de las cadenas que siguen al encabezado. |
16 |
2 |
Ordinal/Hint |
El ordinal o la sugerencia para la importación, determinado por el valor del campo Tipo de nombre. |
18 |
2 bits |
Tipo |
Tipo de importación. Para obtener descripciones y valores específicos, vea Import Type. |
3 bits |
Tipo de nombre |
Tipo de nombre de importación. Para obtener más información, vea Tipo de nombre de importación. |
|
11 bits |
Reservada |
Reservado, debe ser 0. |
Esta estructura va seguida de dos cadenas terminadas en NULL que describen el nombre del símbolo importado y el archivo DLL del que procede.
Tipo de importación
Los siguientes valores se definen para el campo Tipo en el encabezado import:
Constante | Value | Descripción |
---|---|---|
IMPORT_CODE |
0 |
Código ejecutable. |
IMPORT_DATA |
1 |
Datos |
IMPORT_CONST |
2 |
Se especifica como CONST en el archivo .def. |
Estos valores se usan para determinar qué contribuciones de sección deben generarse mediante la herramienta que usa la biblioteca si debe tener acceso a esos datos.
Tipo de nombre de importación
El nombre del símbolo de importación terminado en null sigue inmediatamente su encabezado de importación asociado. Los valores siguientes se definen para el campo Tipo de nombre en el encabezado de importación. Indican cómo se va a usar el nombre para generar los símbolos correctos que representan la importación:
Constante | Value | Descripción |
---|---|---|
IMPORT_ORDINAL | 0 | La importación es por ordinal. Esto indica que el valor del campo Ordinal/Hint del encabezado de importación es el ordinal de la importación. Si no se especifica esta constante, el campo Ordinal/Hint siempre debe interpretarse como la sugerencia de importación. |
IMPORT_NAME | 1 | El nombre de importación es idéntico al nombre del símbolo público. |
IMPORT_NAME_NOPREFIX | 2 | El nombre de importación es el nombre del símbolo público, pero omite el ?, @o, opcionalmente, _. |
IMPORT_NAME_UNDECORATE | 3 | El nombre de importación es el nombre del símbolo público, pero omite el ?, @, o opcionalmente _, y truncando en la primera @. |
Apéndice A: Cálculo del hash de imagen authenticode PE
Se espera que se usen varios certificados de atributo para comprobar la integridad de las imágenes. Sin embargo, la más común es Authenticode signature. Se puede usar una firma Authenticode para comprobar que las secciones pertinentes de un archivo de imagen PE no se han modificado de ninguna manera desde el formulario original del archivo. Para realizar esta tarea, las firmas Authenticode contienen algo denominado hash de imagen PE.
¿Qué es un hash de imagen authenticode PE?
El hash de imagen authenticode PE, o hash de archivo para abreviar, es similar a una suma de comprobación de archivo en la que genera un valor pequeño relacionado con la integridad de un archivo. Un algoritmo simple genera una suma de comprobación y se usa principalmente para detectar errores de memoria. Es decir, se usa para detectar si un bloque de memoria en el disco se ha vuelto incorrecto y los valores almacenados allí se han dañado. Un hash de archivo es similar a una suma de comprobación en que también detecta daños en los archivos. Sin embargo, a diferencia de la mayoría de los algoritmos de suma de comprobación, es muy difícil modificar un archivo para que tenga el mismo hash de archivo que su formulario original (sin modificar). Es decir, una suma de comprobación está pensada para detectar errores de memoria simples que provocan daños, pero se puede usar un hash de archivo para detectar modificaciones intencionadas e incluso sutiles en un archivo, como las introducidas por virus, hackers o programas troyanos.
En una firma Authenticode, el hash del archivo se firma digitalmente mediante una clave privada conocida solo para el firmante del archivo. Un consumidor de software puede comprobar la integridad del archivo calculando el valor hash del archivo y comparándolo con el valor del hash firmado contenido en la firma digital Authenticode. Si los hashes de archivo no coinciden, se ha modificado parte del archivo cubierto por el hash de imagen pe.
¿Qué se trata en un hash de imagen authenticode PE?
No es posible ni deseable incluir todos los datos de archivo de imagen en el cálculo del hash de imagen PE. A veces, simplemente presenta características no deseadas (por ejemplo, la información de depuración no se puede quitar de los archivos publicados públicamente); a veces es simplemente imposible. Por ejemplo, no es posible incluir toda la información dentro de un archivo de imagen en una firma Authenticode, después insertar la firma Authenticode que contiene ese hash de imagen PE en la imagen PE y, posteriormente, poder generar un hash de imagen PE idéntico incluyendo todos los datos de archivo de imagen en el cálculo de nuevo, ya que el archivo ahora contiene la firma Authenticode que no estaba originalmente allí.
Proceso para generar el hash de imagen authenticode PE
En esta sección se describe cómo se calcula un hash de imagen PE y qué partes de la imagen pe se pueden modificar sin invalidar la firma Authenticode.
Nota:
El hash de imagen pe de un archivo específico se puede incluir en un archivo de catálogo independiente sin incluir un certificado de atributo en el archivo hash. Esto es relevante, ya que es posible invalidar el hash de imagen pe en un archivo de catálogo firmado por Authenticode modificando una imagen PE que realmente no contiene una firma Authenticode.
Todos los datos de las secciones de la imagen pe que se especifican en la tabla de secciones se aplica un algoritmo hash en su totalidad, excepto en los siguientes intervalos de exclusión:
Campo CheckSum del archivo de los campos específicos de Windows del encabezado opcional. Esta suma de comprobación incluye todo el archivo (incluidos los certificados de atributo del archivo). Con toda probabilidad, la suma de comprobación será diferente del valor original después de insertar la firma Authenticode.
Información relacionada con los certificados de atributo. Las áreas de la imagen pe relacionadas con la firma Authenticode no se incluyen en el cálculo del hash de imagen PE porque las firmas Authenticode se pueden agregar o quitar de una imagen sin afectar a la integridad general de la imagen. Esto no es un problema, ya que hay escenarios de usuario que dependen de volver a firmar imágenes PE o de agregar una marca de tiempo. Authenticode excluye la siguiente información del cálculo hash:
Campo Tabla de certificado de los directorios de datos de encabezado opcionales.
La tabla de certificados y los certificados correspondientes a los que apunta el campo Tabla de certificados que aparece inmediatamente arriba.
Para calcular el hash de la imagen PE, Authenticode ordena las secciones especificadas en la tabla de secciones por intervalo de direcciones y, a continuación, aplica un algoritmo hash a la secuencia de bytes resultante, pasando por encima de los intervalos de exclusión.
Información pasada del final de la última sección. El área situada más allá de la última sección (definida por el desplazamiento más alto) no se aplica un algoritmo hash. Esta área suele contener información de depuración. Por lo general, la información de depuración se puede considerar como asesoramiento a los depuradores; no afecta a la integridad real del programa ejecutable. Es bastante posible eliminar la información de depuración de una imagen después de entregar un producto y no afectar a la funcionalidad del programa. De hecho, esto se hace a veces como medida de almacenamiento en disco. Cabe destacar que la información de depuración contenida en las secciones especificadas de la imagen pe no se puede quitar sin invalidar la firma Authenticode.
Puede usar las herramientas makecert y signtool proporcionadas en el SDK de Plataforma para Windows para experimentar con la creación y comprobación de firmas Authenticode. Para obtener más información, vea Referencia, a continuación.
Referencias
Descargas y herramientas para Windows (incluye Windows SDK)
Creación, visualización y administración de certificados
Tutorial de firma de código en modo kernel (.doc)
Formato de firma ejecutable portable de Windows Authenticode (.docx)