开发MFC DLL的PE解析工具：resource table加载问题求助

1. 如何访问和读取Resource Table？ #

PE文件的资源表是层级化结构，核心是从NT头定位资源目录入口，逐层解析：

• 定位资源目录基址：从PE文件的IMAGE_NT_HEADERS.OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_RESOURCE]获取资源目录的RVA和大小，将RVA转换为文件偏移（通过节表中的IMAGE_SECTION_HEADER找到对应节的VirtualAddress和PointerToRawData计算）。
• 解析根目录：根目录是IMAGE_RESOURCE_DIRECTORY结构，包含NumberOfNamedEntries和NumberOfIdEntries，后面跟着对应数量的IMAGE_RESOURCE_DIRECTORY_ENTRY条目。
• 区分目录项类型：每个IMAGE_RESOURCE_DIRECTORY_ENTRY的NameIsString位标记是否为命名资源，OffsetToData位标记是子目录还是资源数据：
  • 若为子目录：偏移指向另一个IMAGE_RESOURCE_DIRECTORY（类型目录→名称/语言目录）。
  • 若为资源数据：偏移指向IMAGE_RESOURCE_DATA_ENTRY，其中OffsetToData是资源实际数据的RVA，转换为文件偏移后即可读取原始资源数据。
• 关键注意点：资源目录的RVA必须转换为文件偏移才能读取磁盘上的PE文件内容；若PE已加载到内存，直接使用RVA即可访问。

2. 递归加载MFC DLL资源的特定步骤与注意事项 #

MFC DLL的资源加载依赖自身资源系统，递归加载需遵循以下逻辑：

步骤 #

• 1. 加载目标MFC DLL时，先解析其导入表，识别依赖的MFC核心DLL（如mfc140.dll、mfcm140.dll等）。
• 2. 按依赖顺序递归加载这些MFC DLL的资源表：先加载底层依赖DLL，再加载上层DLL，确保资源继承关系正确。
• 3. 处理资源映射：MFC资源支持ID继承，需将不同DLL的资源ID按优先级合并（上层DLL资源覆盖底层同名/同ID资源）。
• 4. 模拟MFC资源加载上下文：若需在内存中模拟MFC资源访问，需设置AFX_MANAGE_STATE切换模块状态，确保资源查找路径正确。

注意事项 #

• 避免重复加载：记录已加载的DLL路径，防止同一DLL被多次解析。
• 处理资源冲突：MFC DLL可能存在相同ID的资源，需保留最新加载（上层）的资源。
• 语言资源区分：资源目录中的语言条目需匹配当前系统语言或指定语言，优先加载对应语言的资源。
• 资源类型特殊性：MFC的对话框、菜单、字符串表等资源有特定格式，需按MFC的解析规则处理（如字符串表的分组存储）。

3. Resource Table结构示例与参考资料 #

核心结构定义（C++） #

typedef struct _IMAGE_RESOURCE_DIRECTORY {
    DWORD Characteristics;
    DWORD TimeDateStamp;
    WORD MajorVersion;
    WORD MinorVersion;
    WORD NumberOfNamedEntries;
    WORD NumberOfIdEntries;
    // 后续紧跟IMAGE_RESOURCE_DIRECTORY_ENTRY数组
} IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;

typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY {
    union {
        struct {
            DWORD NameOffset:31;
            DWORD NameIsString:1;
        };
        DWORD Name;
        WORD Id;
    };
    union {
        DWORD OffsetToData:31;
        DWORD DataIsDirectory:1;
    };
} IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;

typedef struct _IMAGE_RESOURCE_DATA_ENTRY {
    DWORD OffsetToData;
    DWORD Size;
    DWORD CodePage;
    DWORD Reserved;
} IMAGE_RESOURCE_DATA_ENTRY, *PIMAGE_RESOURCE_DATA_ENTRY;

简单遍历示例代码 #

void TraverseResourceDirectory(PIMAGE_RESOURCE_DIRECTORY pDir, DWORD baseRva, DWORD fileBase) {
    PIMAGE_RESOURCE_DIRECTORY_ENTRY pEntry = (PIMAGE_RESOURCE_DIRECTORY_ENTRY)(pDir + 1);
    int totalEntries = pDir->NumberOfNamedEntries + pDir->NumberOfIdEntries;
    
    for (int i = 0; i < totalEntries; i++) {
        if (pEntry[i].DataIsDirectory) {
            // 递归遍历子目录
            PIMAGE_RESOURCE_DIRECTORY pSubDir = (PIMAGE_RESOURCE_DIRECTORY)((BYTE*)fileBase + (pEntry[i].OffsetToData & 0x7FFFFFFF) - baseRva);
            TraverseResourceDirectory(pSubDir, baseRva, fileBase);
        } else {
            // 读取资源数据
            PIMAGE_RESOURCE_DATA_ENTRY pDataEntry = (PIMAGE_RESOURCE_DATA_ENTRY)((BYTE*)fileBase + (pEntry[i].OffsetToData & 0x7FFFFFFF) - baseRva);
            BYTE* pResourceData = (BYTE*)fileBase + pDataEntry->OffsetToData - baseRva;
            // 处理资源数据...
        }
    }
}

参考资料 #

• 微软官方PE格式规范：详细定义了资源表的层级结构与字段含义。
• 《Windows核心编程》：深入讲解PE资源的存储与加载机制。
• MFC官方文档：描述了MFC资源的继承、加载规则与特殊格式处理。

内容的提问来源于stack exchange，提问作者12UE