医生兼职医药代表招聘商丘兼职招聘网2025年最新版 V3.4

对DLL反汇编的主要工具有：OD、IDA、softICE等。

反汇编软件(C32Asm)技巧

[GLOBENOTE]

LanguageChange=必须重新打开应用程序才能生效

Done=完成

OpenFileErr=打开%s文件遭遇错误

CreateBakFile=创建备份文件%s？

[GENERAL]

ButtonOk=确定(&O)

ButtonCancel=退出(&C)

CheckNoteAgain=下次不要提醒我(&A)

[PEINFOVIEWBAR]

DosHeader=DOSHEADER

e_magic=e_magic

e_magic_Idc=Magicnumber

e_cblp=e_cblp

e_cblp_Idc=Bytesonlastpageoffile

e_cp=e_cp

e_cp_Idc=Pagesinfile

e_crlc=e_crlc

e_crlc_Idc=Relocations

e_cparhdr=e_cparhdr

e_cparhdr_Idc=Sizeofheaderinparagraphs

e_minalloc=e_minalloc

e_minalloc_Idc=Minimumextraparagraphsneeded

e_maxalloc=e_maxalloc

e_maxalloc_Idc=Maximumextraparagraphsneeded

e_ss=e_ss

e_ss_Idc=Initial(relative)SSvalue

e_sp=e_sp

e_sp_Idc=InitialSPvalue

e_csum=e_csum

e_csum_Idc=Checksum

e_ip=e_ip

e_ip_Idc=InitialIPvalue

e_cs=e_cs

e_cs_Idc=Initial(relative)CSvalue

e_lfarlc=e_lfarlc

e_lfarlc_Idc=Fileaddressofrelocationtable

e_ovno=e_ovno

e_ovno_Idc=Overlaynumber

e_res=e_res

e_res1=1

e_res1_Idc=Reservedwordsarray1

e_res2=2

e_res2_Idc=Reservedwordsarray2

e_res3=3

e_res3_Idc=Reservedwordsarray3

e_res4=4

e_res4_Idc=Reservedwordsarray4

e_oemid=e_oemid

e_oemid_Idc=OEMidentifier(fore_oeminfo)

e_oeminfo=e_oeminfo

e_oeminfo_Idc=OEMinformation;e_oemidspecific

e_restow=e_res2

e_restow1=1

e_restow1_Idc=Reservedwordsarray1

e_restow2=2

e_restow2_Idc=Reservedwordsarray2

e_restow3=3

e_restow3_Idc=Reservedwordsarray3

e_restow4=4

e_restow4_Idc=Reservedwordsarray4

e_restow5=5

e_restow5_Idc=Reservedwordsarray5

e_restow6=6

e_restow6_Idc=Reservedwordsarray6

e_restow7=7

e_restow7_Idc=Reservedwordsarray7

e_restow8=8

e_restow8_Idc=Reservedwordsarray8

e_restow9=9

e_restow9_Idc=Reservedwordsarray9

e_restow10=10

e_restow10_Idc=Reservedwordsarray10

e_lfanew=e_lfanew

e_lfanew_Idc=Fileaddressofnewexeheader

FileHeader=FileHeader

Machine=Machine

Machine_Idc=可执行文件的目标CPU。一般值是：IMAGE_FILE_MACHINE_I386 0x014c//Intel386IMAGE_FILE_MACHINE_IA64 0x0200//Intel64

NumberOfSections=NumberOfSections

NumberOfSections_Idc=表明在区段表里有多少个区段。区段表紧跟在IMAGE_NT_HEADERS后面。

TimeDateStamp=TimeDateStamp

TimeDateStamp_Idc=表明文件是何时被创建的。这个值是自1970年1月1日以来用格林威治时间（GMT）计算的秒数，这个值是一个比文件系统的日期/时间更精确的文件创建时间指示器。一种比较简单的将这个值翻译为易读的字符串的方法是用_ctime函数（它是时区敏感型的），另一个对此域计算有用的函数是gmtime。

PointerToSymbolTable=PointerToSymbolTable

PointerToSymbolTable_Idc=COFF符号表的文件偏移位置。COFF符号表在PE文件中相对比较少见，因为较新的debug格式已经被采用，在VisualStudio.NET之前，COFF符号表可以通过设置链接器开关/DEBUGTYPE:COFF来创建。COFF符号表几乎总能在目标文件中找到，如果没有符号表存在将此值设为0。

NumberOfSymbols=NumberOfSymbols

NumberOfSymbols_Idc=如果有COFF符号表，它代表其中的符号数目，COFF符号是一个大小固定的结构，如果想找到COFF符号表的结束处，这个域是需要的。紧跟在COFF符号表后面的是一个用于放置较长符号名称的字符串表。

SizeOfOptionalHeader=SizeOfOptionalHeader

SizeOfOptionalHeader_Idc=跟在IMAGE_FILE_HEADER后面的可选数据大小。在PE文件中，这个数据结构叫IMAGE_OPTIONAL_HEADER，其大小依赖于是32位还是64位文件，对于32位PE文件，这个域通常是224；对64位PE32+文件，这个域是240，不管怎么样，这些是要求的最小尺寸值，较大的值可能会出现。

Characteristics=Characteristics

Characteristics_Idc=标明文件属性的一套旗标。这些标志的有效值是定义于WINNT.H内的IMAGE_FILE_xxx值。

OptionalHeader=OptionalHeader

Magic=Magic

Magic_Idc=是一个标记字，确定这是什么类型的头部。两个最常见的值是IMAGE_NT_OPTIONAL_HDR32_MAGIC0x10b和IMAGE_NT_OPTIONAL_HDR64_MAGIC0x20b。

MajorLinkerVersion=MajorLinkerVersion

MajorLinkerVersion_Idc=用于编译这个执行文件的链接器的主版本。用微软的链接器生成的PE文件，这个版本号对应于VisualStudio的版本号（例如，version6代表VisualStudio6.0）。

MinorLinkerVersion=MinorLinkerVersion

MinorLinkerVersion_Idc=用于编译这个执行文件的链接器的亚版本。

SizeOfCode=SizeOfCode

SizeOfCode_Idc=所有带有IMAGE_SCN_CNT_CODE属性的区段的联结总尺寸。

SizeOfInitializedData=SizeOfInitializedData

SizeOfInitializedData_Idc=所有初始化数据区段的联结尺寸。

SizeOfUninitializedData=SizeOfUninitializedData

SizeOfUninitializedData_Idc=所有带有未初始化数据属性的区段尺寸。这个域经常是0，因为链接器能附加未初始化数据到常规数据区段的末端。

AddressOfEntryPoint=AddressOfEntryPoint

AddressOfEntryPoint_Idc=文件中将被执行的第一个代码字节处的RVA。对于DLL，这个入口点是在进程初始化和关闭时以及线程创建/毁灭时被呼叫。在大多数可执行文件中，这个地址并不直接指向main、WinMain或DllMain，而是指向运行时库代码并由它来呼叫上述的函数。在DLL中这个域能被设置为0，前面提到的通知消息都不能收到，链接器/NOENTRY开关可以设置这个域为0。

BaseOfCode=BaseOfCode

BaseOfCode_Idc=当被装入内存中时，代码的第一个字节处的RVA。

BaseOfData=BaseOfData

BaseOfData_Idc=从理论上讲，当被装入内存中时，数据第一个字节处的RVA。可是，这个域的值对于不同版本的微软链接器是不一致的，在64位可执行文件中是不出现的。

ImageBase=ImageBase

ImageBase_Idc=文件在内存中的首选装入地址。如果有可能（也就是说，目前如果没有其他占据这块地址，它是正确对齐的并且是在一个合法的地址，等等），加载器试图在这个地址装入PE文件。如果可执行文件是在这个地址装入的，那么加载器将跳过应用基址重定位的步骤（将在这篇文章的第二部分描述）。对于EXE，缺省的ImageBase是0x400000；对于DLL，这个值是0x10000000。ImageBase值可以在链接时用/BASE开关设置，或者链接后通过REBASE应用程序。

SectionAlignment=SectionAlignment

SectionAlignment_Idc=当被装入内存中时的区段对齐大小。这个大小必须大于或等于文件对齐域（下面提到）。缺省的对齐尺寸是目标CPU的页尺寸。对于运行在Windows9x或WindowsMe下的用户模式可执行文件，最小的对齐尺寸是一页（4KB）。这个域可以通过链接器的/ALIGN开关来设置。

FileAlignment=FileAlignment

FileAlignment_Idc=PE文件内的区段对齐大小。对于x86可执行文件，这个值通常是0x200或0x1000。用不同版本的微软链接器缺省值会改变。这个值必须是2的幂，并且如果SectionAlignment小于CPU的页尺寸，这个域必须与SectionAlignment匹配。链接器开关/OPT:WIN98设置x86可执行文件的文件对齐为0x1000，/OPT:NOWIN98设置对齐为0x200。

MajorOperatingSystemVersion=MajorOperatingSystemVersion

MajorOperatingSystemVersion_Idc=需要的操作系统的主版本号。随着这么多版本的Windows的到来，这个域明显地变得不切题了。

MinorOperatingSystemVersion=MinorOperatingSystemVersion

MinorOperatingSystemVersion_Idc=需要的操作系统的亚版本号。

MajorImageVersion=MajorImageVersion

MajorImageVersion_Idc=文件的主版本号。它不被系统使用并可以设置为0，通过链接器的/VERSION开关它可以被设置。

MinorImageVersion=MinorImageVersion

MinorImageVersion_Idc=文件的亚版本号。

MajorSubsystemVersion=MajorSubsystemVersion

MajorSubsystemVersion_Idc=执行文件需要的操作子系统的主版本。曾经有一段时间，这个域被用来表示需要较新的Windows95和WindowsNT4.0用户界面。相对于较旧版本的WindowsNT界面来说，今天由于各种各样的Windows版本的出现，这个域显然不能被系统使用了，通常被设置为4，可以通过链接器开关/SUBSYSTEM来设置。

MinorSubsystemVersion=MinorSubsystemVersion

MinorSubsystemVersion_Idc=执行文件需要操作子系统的亚版本。

Win32VersionValue=Win32VersionValue

Win32VersionValue_Idc=另一个从来不用的域，通常被设置为0。

SizeOfImage=SizeOfImage

SizeOfImage_Idc=SizeOfImage包括RVA，其值将赋给跟在最后一个区段后面的区段（如果存在），这明显是系统将文件装入内存需要保留的内存数量，这个域值必须是区段对齐的倍数。

SizeOfHeaders=SizeOfHeaders

SizeOfHeaders_Idc=是MS-DOS头部、PE头部、区段表的组合尺寸。所有这些项目都出现在PE文件中任何代码或数据区段之前。域值四舍五入至文件对齐的倍数。

CheckSum=CheckSum

CheckSum_Idc=映像的校验和。在IMAGEHLP.DLL中的CheckSumMappedFileAPI可以计算这个值。校验和用于内核模式的驱动程序和系统DLL，否则，这个值可以设为0。当链接器的/RELEASE开关被使用时，校验和被置于文件中。

Subsystem=Subsystem

Subsystem_Idc=一个标明可执行文件所期望的子系统（用户界面类型）的枚举值。这个值只对EXE是重要的。

DllCharacteristics=DllCharacteristics

DllCharacteristics_Idc=显示DLL特性的旗标。这些值对应于IMAGE_DLLCHARACTERISTICS_xxx域定义。

SizeOfStackReserve=SizeOfStackReserve

SizeOfStackReserve_Idc=在EXE文件里，进程中的线程初始堆栈能增加到的最大尺寸。缺省值是1MB，并不是所有这些内存在最开始时就被委派。

SizeOfStackCommit=SizeOfStackCommit

SizeOfStackCommit_Idc=在EXE文件里，一开始即被委派（committed）给堆栈的内存数量。缺省值是4KB。

SizeOfHeapReserve=SizeOfHeapReserve

SizeOfHeapReserve_Idc=在EXE文件里，缺省processheap的初始保留尺寸。缺省值是1MB，但是在当前版本的Windows里，heap值在用户不干涉的情况下就能增长超过这个值。

SizeOfHeapCommit=SizeOfHeapCommit

SizeOfHeapCommit_Idc=在EXE文件里，委派给heap的内存大小。缺省的，这个值是4KB。

LoaderFlags=LoaderFlags

LoaderFlags_Idc=很陈旧的一个域。

NumberOfRvaAndSizes=NumberOfRvaAndSizes

NumberOfRvaAndSizes_Idc=在IMAGE_NT_HEADERS结构的结束处是一个IMAGE_DATA_DIRECTORY结构数组。这个域包括数组中的条目数量。这个域从最早的WindowsNT发布以来一直是16。

DataDirectory=DataDirectory

DataDirectory_Idc=一个IMAGE_DATA_DIRECTORY结构数组。每个结构包括可执行文件中的一些重要部分的RVA和大小（例如输入表、输出表、资源）。

VirtualAddress=VirtualAddress

VirtualAddress_Idc=VirtualAddress

Size=Size

Size_Idc=Size

IMAGE_DIRECTORY_ENTRY_EXPORT=IMAGE_DIRECTORY_ENTRY_EXPORT

IMAGE_DIRECTORY_ENTRY_EXPORT_Idc=指向输出表(一个IMAGE_EXPORT_DIRECTORY结构）。

IMAGE_DIRECTORY_ENTRY_IMPORT=IMAGE_DIRECTORY_ENTRY_IMPORT

IMAGE_DIRECTORY_ENTRY_IMPORT_Idc=指向输入表(一个IMAGE_IMPORT_DESCRIPTOR结构的数组）。

IMAGE_DIRECTORY_ENTRY_RESOURCE=IMAGE_DIRECTORY_ENTRY_RESOURCE

IMAGE_DIRECTORY_ENTRY_RESOURCE_Idc=指向资源(一个IMAGE_RESOURCE_DIRECTORY结构）。

IMAGE_DIRECTORY_ENTRY_EXCEPTION=IMAGE_DIRECTORY_ENTRY_EXCEPTION

IMAGE_DIRECTORY_ENTRY_EXCEPTION_Idc=指向异常句柄表(一个IMAGE_RUNTIME_FUNCTION_ENTRY结构的数组）。CPU特定的并且是基于表的异常处理，使用在除了x86系列的CPU上。

IMAGE_DIRECTORY_ENTRY_SECURITY=IMAGE_DIRECTORY_ENTRY_SECURITY

IMAGE_DIRECTORY_ENTRY_SECURITY_Idc=指向一列WIN_CERTIFICATE结构，它定义在WinTrust.H里。它不作为映像的一部分映射到内存中，因此VirtualAddress域是一个文件偏移位置，而不是RVA。

IMAGE_DIRECTORY_ENTRY_BASERELOC=IMAGE_DIRECTORY_ENTRY_BASERELOC

IMAGE_DIRECTORY_ENTRY_BASERELOC_Idc=指向基址重定位信息。

IMAGE_DIRECTORY_ENTRY_DEBUG=IMAGE_DIRECTORY_ENTRY_DEBUG

IMAGE_DIRECTORY_ENTRY_DEBUG_Idc=指向一个IMAGE_DEBUG_DIRECTORY结构的数组。每一个结构描述了映像的一些debug信息。早先的Borland的链接器设置这个IMAGE_DATA_DIRECTORY条目的Size域为结构的数目，而不是字节大小，为了得到IMAGE_DEBUG_DIRECTORY结构的数目，用IMAGE_DEBUG_DIRECTORY的大小除以Size域。

IMAGE_DIRECTORY_ENTRY_ARCHITECTURE=IMAGE_DIRECTORY_ENTRY_ARCHITECTURE

IMAGE_DIRECTORY_ENTRY_ARCHITECTURE_Idc=指向架构体系特定的数据，其是一个IMAGE_ARCHITECTURE_HEADER结构的数组。它不用于x86或IA-64，但看来已被用于DEC/CompaqAlpha。

IMAGE_DIRECTORY_ENTRY_GLOBALPTR=IMAGE_DIRECTORY_ENTRY_GLOBALPTR

IMAGE_DIRECTORY_ENTRY_GLOBALPTR_Idc=VirtualAddress域中的RVA被用作在某一种架构体系上的全局指针（gp)。它不使用在x86上，而用于IA-64上。Size域没被使用，请查阅2000年11月的UnderTheHood栏目，获取更多的关于IA-64gp的信息。

IMAGE_DIRECTORY_ENTRY_TLS=IMAGE_DIRECTORY_ENTRY_TLS

IMAGE_DIRECTORY_ENTRY_TLS_Idc=指向线程局部存储（ThreadLocalStorage）初始化区段。

IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG=IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG

IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG_Idc=指向一个IMAGE_LOAD_CONFIG_DIRECTORY结构。IMAGE_LOAD_CONFIG_DIRECTORY结构里的信息是特定于WindowsNT,Windows2000,andWindowsXP的（例如，GlobalFlag值）。为了将这个结构放入你的可执行文件里，你需要用名字__load_config_used定义一个全局结构，类型为IMAGE_LOAD_CONFIG_DIRECTORY。对于非x86架构体系，符号名字需要是_load_config_used（一个下横线）。如果你确实想包括一个IMAGE_LOAD_CONFIG_DIRECTORY，它是在C++代码里立即获取名字的一个技巧。给链接器看的符号名字必须完全写成__load_config_used（用两个下横线）。C++编译器给全局符号加上一个下横线，此外，它还用类型信息来修饰全局符号。所以，为了在C++中每一处都是正确的，你应该这样写：extern"C"IMAGE_LOAD_CONFIG_DIRECTORY_load_config_used={...}

IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT=IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT

IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT_Idc=指向一个IMAGE_BOUND_IMPORT_DESCRIPTOR结构的数组。其对应这个映像绑定的每一个DLL，数组条目里时间戳允许加载器快速决定绑定是否是新的。如果是陈旧的，加载器将忽略绑定信息并且正常地解决输入的API。

IMAGE_DIRECTORY_ENTRY_IAT=IMAGE_DIRECTORY_ENTRY_IAT

IMAGE_DIRECTORY_ENTRY_IAT_Idc=指向第一个输入地址表（IAT）的开始。对于每个输入的DLL的IAT继而出现在内存中，Size域显示了所有IAT的总的大小。在加载器解决输入时，使用这个地址和大小来临时地标记IAT为读写。

IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT=IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT

IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT_Idc=指向延迟装入信息，其是一个CImgDelayDescr结构的数组。定义来自于VisualC++里的DELAYIMP.H。延迟装入的DLL直到对它里面的API第一次呼叫发生时才被装入。在Windows里没有绝对的关于延迟装入DLL的知识，注意这一点是很重要的。延迟装入的特征完全是由链接器和运行时库来完成的。

IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR=IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR

IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR_Idc=在最近升级的系统头文件里，这个值已经改名为IMAGE_DIRECTORY_ENTRY_COMHEADER。它指向可执行文件的.NET信息中的最高级别信息，包括元数据。这种信息是以一个IMAGE_COR20_HEADER结构形式存在。

SectionHeader=SectionHeader

Section=Section

SectionName=Name

SectionName_Idc=TheASCIInameofthesection.Asectionnameisnotguaranteedtobenull-terminated.Ifyouspecifyasectionnamelongerthaneightcharacters,thelinkertruncatesittoeightcharactersintheexecutable.AmechanismexistsforallowinglongersectionnamesinOBJfiles.Sectionnamesoftenstartwithaperiod,butthisisnotarequirement.Sectionnameswitha$inthenamegetspecialtreatmentfromthelinker.Sectionswithidenticalnamespriortothe$characteraremerged.Thecharactersfollowingthe$provideanalphabeticorderingforhowthemergedsectionsappearinthefinalsection.There'squitea位moretothesubjectofsectionswith$inthenameandhowthey'recombined,butthedetailsareoutsidethescopeofthisarticle

Misc=PhysicalAddress

Misc_Idc=Indicatestheactual,usedsizeofthesection.ThisfieldmaybelargerorsmallerthantheSizeOfRawDatafield.IftheVirtualSizeislarger,theSizeOfRawDatafieldisthesizeoftheinitializeddatafromtheexecutable,andtheremainingbytesuptotheVirtualSizeshouldbezero-padded.Thisfieldissetto0inOBJfiles.

SECTION_VirtualAddress=VirtualAddress

SECTION_VirtualAddress_Idc=Inexecutables,indicatestheRVAwherethesectionbeginsinmemory.Shouldbesetto0inOBJs.

SizeOfRawData=SizeOfRawData

SizeOfRawData_Idc=Thesize(inbytes)ofdatastoredforthesectionintheexecutableorOBJ.Forexecutables,thismustbeamultipleofthefilealignmentgiveninthePEheader.Ifsetto0,thesectionisuninitializeddata.

PointerToRawData=PointerToRawData

PointerToRawData_Idc=Thefileoffsetwherethedataforthesectionbegins.Forexecutables,thisvaluemustbeamultipleofthefilealignmentgiveninthePEheader.

PointerToRelocations=PointerToRelocations

PointerToRelocations_Idc=Thefileoffsetofrelocationsforthissection.ThisisonlyusedinOBJsandsettozeroforexecutables.InOBJs,itpointstoanarrayofIMAGE_RELOCATIONstructuresifnon-zero.

PointerToLinenumbers=PointerToLinenumbers

NumberOfRelocations=NumberOfRelocations

NumberOfRelocations_Idc=ThenumberofrelocationspointedtobythePointerToRelocationsfield.Shouldbe0inexecutables.

NumberOfLinenumbers=NumberOfLinenumbers

NumberOfLinenumbers_Idc=ThenumberoflinenumberspointedtobytheNumberOfRelocationsfield.OnlyusedwhenCOFFlinenumbersareemitted.

Characteristics=Characteristics

Characteristics_Idc=FlagsOR'edtogether,indicatingtheattributesofthissection.Manyoftheseflagscanbesetwiththelinker's/SECTIONoption.CommonvaluesincludethoselistedinFigure7.

[HexEditStatus]

Page=页

FileSize=文件大小:%d

FileSize1=块大小:%d

Block=开始:%xh结束:%xh

Block1=相对偏移:%08lxh

Status=撤销:%d步,重做:%d步

Status1=*撤销:%d步,重做:%d步

Offset=偏移:%08lxh

[HexEditFindDialog]

DialogWindowText=搜索

STATIC_FIND=搜索