12h IMAGE_DIRECTORY_ENTRY_IAT:

Указатель на IAT (подчиненная структура таблицы импорта). Используется загрузчиком Windows XP, остальные операционные системы это поле, по-видимому, игнорируют (подробнее см. «Импорт»).

13h IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT:

Указатель на таблицу отложенного импорта, использующую RVA/VA-адресацию, но фактически остающуюся не стандартизированной и отданной на откуп воле конкретных реализаторов (подробнее см. «Импорт»).

14h IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR:

Если не равно нулю, то файл представляет собой .NET-приложение, состоящее из байт-кода, поэтому попытка внедрения в него x86 никогда ничего хорошего не принесет.

Таблица секций

Четкого определения термина «секция» не существует. Упрощенно говоря, секция – это непрерывная область памяти внутри страничного имиджа со своими атрибутами, независящими от атрибутов остальных секций. Представление секции в памяти не обязательно должно совпадать с ее дисковым образом, который в принципе может вообще отсутствовать (секциям неинициализированных данных нечего делать на диске, и потому они представлены исключительно в памяти).

Каждая секция управляется «своей» записью в одноименной структуре данных, носящей имя «таблицы секций». Таблица секций начинается сразу же за концом опционального заголовка, размер которого содержится в поле SizeOfOptionalHeader, и представляет собой массив структур IMAGE_SECTION_HEADER, количество задается полем NumberOfSection.

Порядок секций может быть любым, но системный загрузчик оптимизирован под следующую последовательность: сначала идет кодовая секция, за ней следует одна или несколько секций инициализированных данных и замыкает строку секция неинициализированных данных.

Структура IMAGE_SECTION_HEADER состоит из следующих полей:

Листинг 5. Прототип структуры IMAGE_SECTION_HEADER

typedef struct _IMAGE_SECTION_HEADER {

    BYTE   Name[IMAGE_SIZEOF_SHORT_NAME];

    union {

           DWORD  PhysicalAddress;

           DWORD  VirtualSize;

           } Misc;

    DWORD  VirtualAddress;

    DWORD  SizeOfRawData;