么镜像文件有一些附加的限制。对于这种文件，当镜像被加载到内存中时，节中数据在文件中的位置必须与它在内存中的位置相等，因此节中数据的物理偏移与RVA相同。 6.镜像大小
SizeOfImage所代表的内存镜像大小没有包含属性证书表和调试信息，这是因为加载器并不将属性证书和调试信息映射进内存。同时加载器规定，属性证书和调试信息必须被放在镜像文件的最后，并且属性证书表在调试信息节之前。 7.数据的组织
CPU的段主要分为4个：代码段、数据段、堆栈段、附加段。而操作系统给程序员留下只有代码段和数据段，堆栈段和附加段就由系统自行处理了，我们不用管。PE文件的数据组织方式是以BaseOfCode、BaseOfData为基准，以节为主体，以数据目录为辅助。
①BaseOfCode、BaseOfData是与后面相应的代码节、数据节的VirtualAddress一致。（这里的数据节是狭义的数据节，是特指代码段、数据目录所指定的数据除外的那一部分，也就是我们编程时定义的常量、变量、未初始化数据等）
②所有的代码、数据都必须在节里面，否则就算是代码基址、数据基址、数据目录都有指定，而节头里没有指定，加载器也会报错，不能运行
③导入函数、导出函数、资源、重定位表等是为了辅助程序主体的，这些都由系统负责处理
5 特殊的节
下表描述了保留的节以及它们的属性，后面是对出现在可执行文件中的节的详细描述。这些节是微软的编译产品所定义的不是系统定义的，实际可以不拘泥于此。
节名 .bss .data 内容 未初始化的数据 代码节 .edata 导出表 .idata 导入表 .idlsym 包含已注册的SEH，它们用以支持IDL属性 .pdata 异常信息 .rdata 只读的已初始化数据（用于常量） .reloc 重定位信息 .rsrc .sbss 资源目录 与GP相关的未初始化数据 .sdata 与GP相关的已初始化数据 .srdata 与GP相关的只读数据 .text 默认代码节 5.1 .edata节
文件A的函数K被文件B调用时，函数K就称为导出函数。导出函数通常出现在DLL中，也可以是exe文件。 下表描述了导出节的一般结构。
表描述 名 导出目它给出了其它各种导出表的位置和大小。 录表 导出一个由导出函数的RVA组成的数组。它们是导出的函数和数据在代码节和数据节内的实际地址。其它镜像文件可以通过使地用这个表的索引（序数）来调用函数。 址表 导出名称一个由指向导出函数名称的指针组成的数组，按升序排列。大小写敏感。 指针表 导出一个由对应于导出名称指针表中各个成员的序数组成的数组。它们的对应是通过位置来体现的，因此导出名称指针表与导出序序数表成员数目必须相同。 数表 导出一系列以NULL结尾的ASCII码字符串。导出名称指针表中的成员都指向这个区域。它们都是公用名称，函数导入与导出就名是通过它们。 称表 当其它镜像文件通过名称导入函数时，Win32加载器通过导出名称指针表来搜索匹配的字符串。如果找到，它就查找导出序数表中相应的成员（也就是说，将找到的导出名称指针表的索引作为导出序数表的索引来使用）来获取与导入函数相关联的序数。获取的这个序数是导出地址表的索引，这个索引对应的元素给出了所需函数的实际位置。每个导出函数都可以通过序数进行访问。
当其它镜像文件通过序数导入函数时，就不再需要通过导出名称指针表来搜索匹配的字符串。因此直接使用序数效率会更高。但是导出名称容易记忆，它不需要用户记住各个符号在表中的索引。
5.1.1 导出目录表
导出目录表是导出函数信息的开始部分，它描述了导出函数信息中其余部分的内容。
偏移 大小 0 4 8 10 12 16 20 24 28 32 36 4 4 2 2 4 4 4 4 4 4 4 英文名 Export Flags 保留，必须为0。 描述 Time/Date StampMajor Version 导出函数被创建的日期和时间。这个值与NT头的第一部分TimeDateStamp相同。 Major Version Minor Version Name RVA Ordinal Base NumberOfFunctions NumberOfNames AddressOfFunctions AddressOfNames AddressOfNameOrdinals 主版本号。 次版本号。 包含这个DLL全名的ASCII码字符串RVA。以一个NULL字节结尾。 导出函数的起始序数值。它通常被设置为1。 导出函数中所有元素的数目。 导出名称指针表中元素的数目。它同时也是导出序数表中元素的数目。 导出地址表RVA。 导出名称指针表RVA。 导出序数表RVA。 5.1.2 导出地址表（Export Address Table，EAT） 导出地址表的格式为下表所述的两种格式之一。如果指定的地址不是位于导出节（其地址和长度由NT头给出）中，那么这个域就是一个Export RVA；否则这个域是一个Forwarder RVA，它给出了一个位于其它DLL中的符号的名称。 偏移 大域 小 Export RVA 这是指向导出节中一个以NULL结尾的ASCII码字符串的指针。这个字符串必须位于Export Table（导出Forwarder RVA 描述 0 4 当加载进内存时，导出函数RVA。 0 4 表）数据目录项给出的范围之内。这个字符串给出了导出函数所在DLL的名称以及导出函数的名称（例如“MYDLL.expfunc”），或者DLL的名称以及导出函数的序数值（例如“MYDLL.#27”）。 Forwarder RVA导出了其它镜像中定义的函数，使它看起来好像是当前镜像导出的一样。因此对于当前镜像来说，这个符号同时既是导入函数又是导出函数。
例如对于Windows XP系统中的Kernel32.dll文件来说，它导出的“HeapAlloc”被转发到“NTDLL.RtlAllocateHeap”。这样就允许应用程序使用Windows XP系统中的Ntdll.dll模块而不需要实际包含任何相关的导入信息。应用程序的导入表只与Kernel32.dll有关。
导出地址表的的值有时为0，此时表明这里没有导出函数。这是为了能与以前版本兼容，省去修改的麻烦。
5.1.3 导出名称指针表
导出名称指针表是由导出名称表中的字符串的地址（RVA）组成的数组。二进制进行排序的，以便于搜索。 只有当导出名称指针表中包含指向某个导出名称的指针时，这个导出名称才算被定义。换句话说，导出名称指针表的值有可能为0，这是为了能与前面版本兼容。
5.1.4 导出序数表
导出序数表是由导出地址表的索引组成的一个数组，每个序数长16位。必须从序数值中减去Ordinal Base域的值得到的才是导出地址表真正的索引。注意，导出地址表真正的索引真正的索引是从0开始的。由此可见，微软弄出Ordinal Base是找麻烦的。导出序数表的值和导出地址表的索引的值都是无符号数。
导出名称指针表和导出名称序数表是两个并列的数组，将它们分开是为了使它们可以分别按照各自的边界（前者是4个字节，后者是2个字节）对齐。在进行操作时，由导出名称指针这一列给出导出函数的名称，而由导出序数这一列给出这个导出函数对应的序数。导出名称指针表的成员和导出序数表的成员通过同一个索引相关联。
5.1.5 导出名称表（Export Name Table，ENT）
导出名称表的结构就是长度可变的一系列以NULL结尾的ASCII码字符串。 导出名称表包含的是导出名称指针表实际指向的字符串。这个表的RVA是由导出名称指针表的第1个值来确定的。这个表中的字符串都是函数名称，其它文件可以通过它们调用函。
5.1.6 举例
①用序数调用
当可执行文件用序数调用函数时，该序数就是导出函数地址表的真实索引。如果索引是错误的就有可能出现不可预知的错误。最著名的例子就是Windows XP在升级Server 2补丁之后，有很多程序都不能运行就是这个原因。微软用序数这种方法被大多数危险程序（病毒、木马）所引用，同样的微软自己也用这种方法来使用一些隐含的函数。最后受害者还是广大的用户，因为使用序数方法的绝大部分程序是有着不可告人的目的的。 ②用函数名调用
当可执行文件用函数名调用时，加载器会通过AddressOfNames以2进制的方法找到第一个相同的函数名。假如找到的是第X个函数名，则在AddressOfNameOrdinals中取出第X个值，该值再减去Ordinal Base则为函数地址的真实索引。
5.2.idata节
首先，您得了解什么是导入函数。一个导入函数是被某模块调用的但又不在调用者模块中的函数，因而命名为“import（导入）”。导入函数实际位于一个或者更多的DLL里。调用者模块里只保留一些函数信息，包括函数名及其驻留的DLL名。现在，我们怎样才能找到PE文件中保存的信息呢? 转到 data directory 寻求答案吧。 文件中导入信息的典型布局如下：
典型的导入节布局
5.2.1 导入目录表
导入目录表是由导入目录项组成的数组，每个导入目录项对应着一个导入的DLL。最后一个导入目录项是空的（全部域的值都为NULL），用来指明目录表的结尾。 每个导入目录项的格式如下：
偏移 大小 0 4 8 12 16 4 4 4 4 4 域 描述 Import Lookup Table RVA 导入查找表的RVA。这个表包含了每一个导入函数的名称或序数。 Time/Date Stamp Forwarder Chain Name RVA Import Address RVA 当镜像与相应的DLL绑定之后，这个域被设置为这个DLL的日期/时间戳。 第一个转发项的索引。 包含DLL名称的ASCII码字符串RVA。 导入地址表的RVA。这个表的内容与导入查找表的内容完全一样。 5.2.2 导入查找表