typedef struct _IMAGE_DOS_HEADER {   // DOS .EXE header
  WORD  e_magic;           // Magic number
  WORD  e_cblp;           // Bytes on last page of file
  WORD  e_cp;            // Pages in file
  WORD  e_crlc;           // Relocations
  WORD  e_cparhdr;          // Size of header in paragraphs
  WORD  e_minalloc;         // Minimum extra paragraphs needed
  WORD  e_maxalloc;         // Maximum extra paragraphs needed
  WORD  e_ss;            // Initial (relative) SS value
  WORD  e_sp;            // Initial SP value
  WORD  e_csum;           // Checksum
  WORD  e_ip;            // Initial IP value
  WORD  e_cs;            // Initial (relative) CS value
  WORD  e_lfarlc;          // File address of relocation table
  WORD  e_ovno;           // Overlay number
  WORD  e_res[4];          // Reserved words
  WORD  e_oemid;           // OEM identifier (for e_oeminfo)
  WORD  e_oeminfo;          // OEM information; e_oemid specific
  WORD  e_res2[10];         // Reserved words
  LONG  e_lfanew;          // File address of new exe header 
 } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

typedef struct _IMAGE_NT_HEADERS {
  DWORD Signature;             // PE文件標識 4Bytes
  IMAGE_FILE_HEADER FileHeader;      // 40 Bytes
  IMAGE_OPTIONAL_HEADER32 OptionalHeader; // 224 Bytes  PE32可執(zhí)行文件，不討論PE32+的情況
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

typedef struct _IMAGE_FILE_HEADER {
  WORD  Machine;        // 可運行在什么樣的CPU上。0代表任意，Intel 386及后續(xù)：0x014C， x64: 0x8664
  WORD  NumberOfSections;   // 文件的區(qū)塊（節(jié)）數(shù)
  DWORD  TimeDateStamp;     // 文件的創(chuàng)建時間。1970年1月1日以GMT計算的秒數(shù),編譯器填充的，不重要的值
  DWORD  PointerToSymbolTable; // 指向符號表（用于調試）
  DWORD  NumberOfSymbols;    // 符號表中符號的個數(shù)（用于調試）
  WORD  SizeOfOptionalHeader; // IMAGE_OPTIONAL_HEADER32結構的大小，可改變，32位為E0,64位為F0
  WORD  Characteristics;    // 文件屬性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

typedef struct _IMAGE_OPTIONAL_HEADER {
  //
  // Standard fields.
  //
  
  WORD  Magic;         //說明文件的類型 PE32：10BH PE32+：20BH  Rom映像文件：107H
  BYTE  MajorLinkerVersion;   //鏈接器主版本號
  BYTE  MinorLinkerVersion;   //鏈接器次版本號
  DWORD  SizeOfCode;       //所有代碼節(jié)的總和（基于文件對齊） 編譯器填的 沒用
  DWORD  SizeOfInitializedData; //包含所有已經(jīng)初始化數(shù)據(jù)的節(jié)的總大小 編譯器填的 沒用
  DWORD  SizeOfUninitializedData;//包含未初始化數(shù)據(jù)的節(jié)的總大小 編譯器填的 沒用
 
  DWORD  AddressOfEntryPoint;  //程序入口RVA  在大多數(shù)可執(zhí)行文件中，這個地址不直接指向Main、WinMain或DIMain函數(shù)，而指向運行時的庫代碼并由它來調用上述函數(shù)
  DWORD  BaseOfCode;       //代碼起始RVA，編譯器填的  沒用
  DWORD  BaseOfData;       //數(shù)據(jù)段起始RVA，編譯器填的  沒用
 
  //
  // NT additional fields.
  //
 
  DWORD  ImageBase;       //內存鏡像基址 ，可鏈接時自己設置
  DWORD  SectionAlignment;    //內存對齊   一般一頁大小4k
  DWORD  FileAlignment;     //文件對齊   一般一扇區(qū)大小512字節(jié)，現(xiàn)在也多4k
  WORD  MajorOperatingSystemVersion; //標識操作系統(tǒng)版本號 主版本號
  WORD  MinorOperatingSystemVersion; //標識操作系統(tǒng)版本號 次版本號
  WORD  MajorImageVersion;   //PE文件自身的主版本號 
  WORD  MinorImageVersion;   //PE文件自身的次版本號 
  WORD  MajorSubsystemVersion; //運行所需子系統(tǒng)主版本號
  WORD  MinorSubsystemVersion; //運行所需子系統(tǒng)次版本號
  DWORD  Win32VersionValue;   //子系統(tǒng)版本的值，必須為0
  DWORD  SizeOfImage; //內存中整個PE文件的映射的尺寸，可比實際的值大，必須是SectionAlignment的整數(shù)倍  
  DWORD  SizeOfHeaders;     //所有頭+節(jié)表按照文件對齊后的大小，否則加載會出錯
  DWORD  CheckSum;        //校驗和，一些系統(tǒng)文件有要求.用來判斷文件是否被修改 
  WORD  Subsystem;       //子系統(tǒng)	驅動程序(1) 圖形界面(2) 控制臺、DLL(3)
  WORD  DllCharacteristics;   //文件特性 不是針對DLL文件的
  DWORD  SizeOfStackReserve;   //初始化時保留的棧大小 
  DWORD  SizeOfStackCommit;   //初始化時實際提交的大小 
  DWORD  SizeOfHeapReserve;   //初始化時保留的堆大小
  DWORD  SizeOfHeapCommit;    //初始化時保留的堆大小
  DWORD  LoaderFlags; 
  DWORD  NumberOfRvaAndSizes;  //數(shù)據(jù)目錄項數(shù)目
  IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]; //數(shù)據(jù)目錄表
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

typedef struct _IMAGE_DATA_DIRECTORY {
  DWORD  VirtualAddress;  //對應表的起始RVA
  DWORD  Size;       //對應表長度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

#define IMAGE_SIZEOF_SHORT_NAME       8
 
typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME]; //塊名。多數(shù)塊名以一個“.”開始（例如.text），這個“.”不是必需的
  union {
      DWORD  PhysicalAddress; //常用第二個字段
      DWORD  VirtualSize;   //加載到內存實際區(qū)塊的大?。▽R前），為什么會變呢？可能是有時未初始化的全局變量不放bss段而是通過擴展這里
  } Misc;
  DWORD  VirtualAddress;  //該塊裝載到內存中的RVA（內存對齊后，數(shù)值總是SectionAlignment的整數(shù)倍）
  DWORD  SizeOfRawData;  //該塊在文件中所占的空間(文件對齊后)，VirtualSize的值可能會比SizeOfRawData大 例如bss節(jié)（SizeOfRawData為0），data節(jié)（關鍵看未初始化的變量放哪）
  DWORD  PointerToRawData; //該塊在文件中的偏移（FOA）
 
  /*調試相關，忽略*/
  DWORD  PointerToRelocations; //在“.obj”文件中使用，指向重定位表的指針
  DWORD  PointerToLinenumbers;
  WORD  NumberOfRelocations;  //重定位表的個數(shù)（在OBJ文件中使用）。
  WORD  NumberOfLinenumbers;
 
  DWORD  Characteristics; //塊的屬性 該字段是一組指出塊屬性（例如代碼/數(shù)據(jù)、可讀/可寫等）的標志
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

typedef struct _IMAGE_DATA_DIRECTORY {
  DWORD  VirtualAddress;  //對應表的起始RVA
  DWORD  Size;       //對應表大小（包含子表）
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

typedef struct _IMAGE_EXPORT_DIRECTORY {
  DWORD  Characteristics; //未定義，總是為0。
  DWORD  TimeDateStamp; //輸出表創(chuàng)建的時間（GMT時間）
  WORD  MajorVersion;  //輸出表的主版本號。未使用，設置為0。
  WORD  MinorVersion;  //輸出表的次版本號。未使用，設置為0。
 
  DWORD  Name; //指向一個ASCII字符串的RVA。這個字符串是與這些輸出函數(shù)相關聯(lián)的DLL的名字（例如"KERNEL32.DLL"）
 
  DWORD  Base; //導出函數(shù)起始序號（基數(shù)）。當通過序數(shù)來查詢一個輸出函數(shù)時，這個值從序數(shù)里被減去，其結果將作為進入輸出地址表（EAT）的索引
 
  DWORD  NumberOfFunctions; //輸出函數(shù)地址表（Export Address Table，EAT）中的條目數(shù)量（最大序號 - 最小序號）
 
  DWORD  NumberOfNames;   //輸出函數(shù)名稱表（Export Names Table，ENT）里的條目數(shù)量
 
  DWORD  AddressOfFunctions;   // EAT的RVA(輸出函數(shù)地址表RVA)
  DWORD  AddressOfNames;     // ENT的RVA(輸出函數(shù)名稱表RVA)，每一個表成員指向ANCII字符串 表成員的排列順序取決于字符串的排序 
  DWORD  AddressOfNameOrdinals; // 輸出函數(shù)序號表RVA，每個表成員2字節(jié)
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

#include <iostream>
#include <windows.h>
 
using namespace std;
 
typedef int(*lpAdd)(int, int);
 
lpAdd myAdd;
 
int main()
{
	//動態(tài)加載dll到內存中
	HINSTANCE  hModule = LoadLibrary("A.dll");
 
	cout << "ImageBase: " << hModule << endl;
 
	//通過函數(shù)名獲取函數(shù)地址
	myAdd = (lpAdd)GetProcAddress(hModule, "add");
 
	cout << "myAdd(10, 20) = " << myAdd(10, 20) << endl;
 
	//通過序號獲取函數(shù)地址
	myAdd = (lpAdd)GetProcAddress(hModule, (char*)0x0C);
 
	cout << "myAdd(10, 20) = " << myAdd(10, 20) << endl;
 
	FreeLibrary(hModule);
 
	return 0;
}

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
  union {
    DWORD  Characteristics;      // 0 for terminating null import descriptor
    DWORD  OriginalFirstThunk;     // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
  } DUMMYUNIONNAME;
  DWORD  TimeDateStamp;         // 0 if not bound,
                      // -1 if bound, and real date\time stamp
                      //   in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
                      // O.W. date/time stamp of DLL bound to (Old BIND)
 
  DWORD  ForwarderChain;         // -1 if no forwarders
  DWORD  Name;
  DWORD  FirstThunk;           // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;

typedef struct _IMAGE_THUNK_DATA32 {
  union {
    DWORD ForwarderString;   // 指向一個轉向者字符串的RVA
    DWORD Function;       // 被輸入的函數(shù)的內存地址
    DWORD Ordinal;       // 被輸入的API的序數(shù)
    DWORD AddressOfData;    // 指向IMAGE_IMPORT BY NAME
  } u1;
} IMAGE_THUNK_DATA32;

typedef struct _IMAGE_IMPORT_BY_NAME {
  WORD  Hint;  // 輸出函數(shù)地址表的索引（不是導出序號），（究竟是啥沒試驗，因為看的很多資料說是序號），不必須，鏈接器可能將其置0
  CHAR  Name[1]; // 函數(shù)名字字符串，以“\0”作為字符串結束標志，大小不確定
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

typedef struct _IMAGE_BASE_RELOCATION {
  DWORD  VirtualAddress; //記錄內存頁的基址RVA 
  DWORD  SizeOfBlock;  //當前重定位塊結構的大小。這個值減8就是TypeOffset數(shù)組的大小
  
  /*下面字段可加與不加*/
  /*數(shù)組每項大小為2字節(jié)。代表頁內偏移，16位分為高4位和低12位。高4位代表重定位類型；
   低12位是重定位地址（12位就可以尋址4k），與VitualAddress相加就是一個完整RVA
   */
  //WORD  TypeOffset[1]; 
} IMAGE_BASE_RELOCATION;
typedef IMAGE_BASE_RELOCATION UNALIGNED * PIMAGE_BASE_RELOCATION;

//
// Based relocation types.
//
 
#define IMAGE_REL_BASED_ABSOLUTE       0  // 沒有具體含義，只是為了讓每個段4字節(jié)對齊
#define IMAGE_REL_BASED_HIGH         1
#define IMAGE_REL_BASED_LOW          2
#define IMAGE_REL_BASED_HIGHLOW        3  // 重定位指向的整個地址都需要修正，實際上大部分情況下都是這樣的
#define IMAGE_REL_BASED_HIGHADJ        4
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_5  5
#define IMAGE_REL_BASED_RESERVED       6
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_7  7
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_8  8
#define IMAGE_REL_BASED_MACHINE_SPECIFIC_9  9
#define IMAGE_REL_BASED_DIR64         10  // 出現(xiàn)在64位PE文件中，對指向的整個地址進行修正

->Relocation Directory
  1. Relocation Block:
  VirtualAddress: 0x00001000 ("CODE")
  SizeOfBlock:   0x00000010 (0x0004 block entries)
 
  RVA    Type
  ---------- -----------------
  0x0000100F HIGHLOW
  0x00001023 HIGHLOW
  n/a    ABSOLUTE
  n/a    ABSOLUTE
————————————————

typedef struct _IMAGE_RESOURCE_DIRECTORY {
  DWORD  Characteristics;  //理論上是資源的屬性標志，但是通常為0
  DWORD  TimeDateStamp;   //資源建立的時間
  WORD  MajorVersion;   //理論上是放置資源的版本，但是通常為0
  WORD  MinorVersion;
 
  //定義資源時，既可以使用字符串作為名稱來標識一個資源，也可以通過ID號來標識資源。資源目錄項的數(shù)量等于兩者之和。
  WORD  NumberOfNamedEntries; //以字符串命名的資源數(shù)量
  WORD  NumberOfIdEntries;  //以整型數(shù)字（ID）命名的資源數(shù)量
// IMAGE_RESOURCE_DIRECTORY_ENTRY DirectoryEntries[];
} IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;

//如果看不懂下面的結構建議復習一下C中的union，struct，位域
typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY {
  union {
    struct {
      DWORD NameOffset:31;
      DWORD NameIsString:1;
    } DUMMYSTRUCTNAME;
    DWORD  Name;
    WORD  Id;
  } DUMMYUNIONNAME;
  union {
    DWORD  OffsetToData;
    struct {
      DWORD  OffsetToDirectory:31;
      DWORD  DataIsDirectory:1;
    } DUMMYSTRUCTNAME2;
  } DUMMYUNIONNAME2;
} IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;

typedef struct _IMAGE_RESOURCE_DIR_STRING_U {
  WORD  Length;  //字符串的長度
  WCHAR  NameString[ 1 ]; //Unicode字符串，按字對齊，長度可變；由Length 指明 Unicode字符串的長度
} IMAGE_RESOURCE_DIR_STRING_U, *PIMAGE_RESOURCE_DIR_STRING_U;

typedef struct _IMAGE_RESOURCE_DATA_ENTRY {
  DWORD  OffsetToData;  //資源數(shù)據(jù)的RVA
  DWORD  Size;      //資源數(shù)據(jù)的長度
  DWORD  CodePage;    //代碼頁，一般為0
  DWORD  Reserved;    //保留字段
} IMAGE_RESOURCE_DATA_ENTRY, *PIMAGE_RESOURCE_DATA_ENTRY;