解析PE结构中的指针

Question

我正在分析PE结构。MSDN(http://msdn.microsoft.com/en-us/magazine/bb985997.aspx)上的一些文章说

"IMAGE_DIRECTORY_ENTRY_IMPORT" points to the imports(an array of IMAGE_IMPORT_DESCRIPTOR structures).

我用010 Editor PE模板检查了实际值。然而，值似乎是以某种方式编码的，我不知道如何解释。下面的图片清楚地解释了这个情况的问题。如果能给点建议我会很感激的……！

​

​

​

​

Answer 1

我查看了the template，发现"FOA“注释是通过将RVA传递给"RVA2FOA”函数生成的，这看起来像是将RVA转换为文件偏移量。

这是有道理的，文件偏移量是你经常想知道的(特别是在十六进制编辑器中，你必须通过文件偏移量导航)，而FOA看起来像是文件偏移量之类的东西的缩写。