如何使用其标头确定准确的 PE 图像文件大小？

Question

我需要字节大小，IMAGE_OPTIONAL_HEADER.SizeOfImage 似乎四舍五入到（不确定）边界并且大于实际文件大小。

Answer 1

IMAGE_OPTIONAL_HEADER.SizeOfImage 是虚拟内存中加载的可执行文件/dll 的大小。
它与磁盘上的大小不同。

您可以使用上一节的VirtualAddress + VirtualSize来计算它。

IMAGE_OPTIONAL_HEADER.SizeOfImage 是向上舍入到 IMAGE_OPTIONAL_HEADER.SectionAlignment 的值（通常与页面大小相同）的值。

Answer 2

if(LastSectionVirtualSize >= LastSectionSizeOfRawData)
{
    if( LastSectionVirtualSize % LastSectionSectionAlignment )
    {
        TempValue = LastSectionVirtualSize - (LastSectionVirtualSize % LastSectionSectionAlignment) + LastSectionSectionAlignment ;
    }
    else
    {
        TempValue = LastSectionVirtualSize ;    
    }
}
else
{
    if(LastSectionSizeOfRawData % LastSectionSectionAlignment)
    {
        TempValue = LastSectionSizeOfRawData - (LastSectionSizeOfRawData % LastSectionSectionAlignment) + LastSectionSectionAlignment ;
    }
    else
    {
        TempValue = LastSectionSizeOfRawData ;
    }
}

OH.SizeOfImage  = TempValue + dwLastSecRVA ;

Answer 3

事实上，接受的答案是不正确的。要获取可执行文件在磁盘上的大小，您应该计算最后一部分的 PointerToRawData + SizeOfRawData，而不是虚拟对应部分。有关示例，请参阅 http://www.strchr.com/creating_self-extracting_executables

另请注意，某些编译器喜欢在最后一节之后附加调试信息。请务必删除任何符号表或设置发布模式，具体取决于您使用的编译器，才能使其正常工作。