《winhex模板》由会员分享，可在线阅读，更多相关《winhex模板（6页珍藏版）》请在金锄头文库上搜索。
1、WINHEX 的数据的数据结结构模板学构模板学习习 阅读次数: 725 一、模板概述定制数据结构模板，这当然比直接分析 16 进制的原始数据要方便得多，而且不容易出错。你编辑好数据结构模板保存后，数据模板就生效了。这样你就可以分析来自硬盘、内存等一些数据，这些数据将套用你数据结构模板来显示数据了。例如：这样你可以定制一个模板来查阅数据库记录。模板本身是个带扩展名 TPL 的文本文件。WINHEX 提供的模板编辑器可以让您写模板的定义,并提供语法检查. 模板的定义,主要包含变量声明,类似于源代码的编程语言. 支持的数据类型包括所有的共同整数,浮点和布尔类型,日期类型, hex 值,二进制,文字,
2、 串型. 数组变量和一组变量,都可以使用.能自由移动,前移和后移的数据,使得使用模板的特别灵活:1.同一个变量可以有多种用途2.你不关心的数据部分可以跳过模板管理器列出所有的模板的 winhex 目录,包含模板定义、标题、附加说明、文件名,点击应用按钮,显示模板选用模板定义的数据,在当前编辑窗在目前的数据解释. 你也可以创造一个新的模板定义,删除或编辑一个现有 winhex 提供的几个模板样例.二、模板定义模板由头部和主体两部分组成,模板头部定义的格式如下:template “title“ /模板标题description “description“ /说明applies_to (file/d
3、isk/RAM) /应用到文件、磁盘还是内存fixed_start offset /固定的起始偏移值sector-aligned /扇区对齐requires offset “hex values“/要求偏移的 HEX 值相等big-endian /高字节优先hexadecimal/octalread-only /只读multiple fixed overall size/ Put any general comments to the template here.beginvariable declarations .end中括号代表是该项是可选的. 表达式里面含有空格的话就要用双引号引起来.
4、 评论会出现在模板的定义. 字继双斜线被忽略的解析器. 注释可以写在任何地方，在注释前要“/”号。1.关键字“ applies_to “必须跟着一个只有一个文件,磁盘或内存 . 如果你是用一个模板解析的数据和用此关键字定义的数据来源不相同的话，winhex 会发出一个警告。2.当模板解释这些数据时默认是从当前的光标位置处开始的，一旦使用 fixed_start 声明位置，解释将总是以指定的偏移位置处开始解释.3.如果模板应用于磁盘的情况下, 关键字“sector-aligned“确保模板从当前的扇区的开始处进行解释, 而不管确切的光标在当前扇区的确切位置. 4.“requires“的声明与“a
5、pplies_to “声明有点类似，“requires“ 声明使 WinHex 防止模板定义对不匹配的数据做错误解释。指定一个偏移量和一个任意长度 HEX 串（十六进制串）来进行匹配。例如,一个有效的主引导记录,可以确认的 hex 串值“55AA”在偏移 0x1fe 处 ； 一个可执行文件的 hex 串值 “ mz “在偏移 0x0 处 . 有许多“ appliesto “声明的模板定义头部 ,都是考虑.5.关键字“big-endian“导致模板定义所有多字节整数和布尔变量是以 big-endian 顺序(高字节为优先)的读写 . 6. 关键字“ hexadecimal “使模板定义的所有整数
6、变量的以十六进制记法显示 .7.关键字“read-only“确保模板只能用来显示数据. 数据将成灰色，就不能修改数据如果在头部设定“multiple“关键字 , winhex 允许浏览到相邻的数据记录在同个模板. 这就要求 winhex 要知道的记录的大小. 如果“multiple“关键字没有指定为尺寸参数,winhex 计算模板结构总尺寸( = record )来解释当前位置到模板的对应的末尾. 如果这是一个可变尺寸, 即数组大小或移动参数来动态决定 winhex 不能浏览先前数据记录. 三、变量声明模板主体的定义主要包括变量声明,类似于编程语言. 下面是变量声明的基本形式type “tit
7、le“/类型 标题 下面是类型： int8, uint8 = byte, int16, uint16, int24, uint24, int32, uint32, int64,uint_flexbinary,float = single, real, double, longdouble = extended,char, char16, string, string16,zstring, zstring16,boole8 = boolean, boole16, boole32hex,DOSDateTime, FileTime, OLEDateTime, SQLDateTime, UNIXDat
8、eTime = time_t, JavaDateTime“title“只能包含在引号中若含空字符. “title“绝不能仅由数字组成. winhex 不区分大小写字符称. 最多有 41字符. 在类型之前可以跟以下关键字big-endian（高字节优先 little-endian (低字节优先) hexadecimal（十六进制） decimal（十进制） octal（八进制）read-only（只读） read-write（可读写） 这些修正只影响紧随其后的变量. 他们是多余的,如果他们出现在头已经定义数据类型后面的数据代表占用空间大小的位数，char16 和 string16 是一样的，wi
9、nhex 支持 Unicode 字符和字符串. 但是, Unicode 字符以外的 256 个第一的 ANSI 等价字都不支持. 最高字符串大小,可以修改用模板是 8192 字节.各类串, string16 , hex 需要额外参数,明确了一些内容. 这个参数可以是一个常数或一个先前宣布变数或数学表达(见下文) . 如果它是一个常数,可以指定十六进制格式, 这是公认的,如果号码是先 0x . 你可以声明变量数组,把数组大小括号旁边的种类或 称号. 以下两行宣布可变大小的 ascii 字符串,其长度取决于前变: uint8 “len“charlen “A string“同样的功能可以通过以下两句
10、来定义:byte “len“string len “A string“字符“ “可以作为一个占位后更换与实际的数组元素的数目(见高级 命令) . 这并不适用于数组 char 变数,因为它们会自动被翻译成一个字符串. 字符串的参数，整型变量数据大小的表达式,可在指定的数学符号. 他们将处理的综合公式解析器. 这些用语须圆括号. 他们不能含有空字符. 他们可利用先前宣布整型变量的名字不包含空字符. 支持的行动,另外, ( + ) ,减法( - ) ,乘法( * ) ,整除( / ) ,取模( % ) , 位与 ( & ) , 位或 ( | ) , and 异或 ( ) . 有效的数学公式所举例(
11、5 * 2+1 )或( len1 / ( len2 +4 ) ) . 结果总是一个整数,必须是一个正数. zstring 和 zstring16 都是 NULL 结尾的字符串,其大小取决于动态地在运行决定. 四、高级命令当附背带,若干变量声明包含一个块,可以反复使用作为一个整体. 但是请注意,块不能嵌套在当前的执行工作. “ “字符可以用一个变量的名字作为占位符后更换为实际计数. 择“ numbering “声明界定在哪里开始计数( 0 by default ) numbering 1 tab byte “len“string len “String No. “ 10在这个例子实际变量的名字放
12、在模板将“String No. 1“, “String No. 2“, ., “String No. 10“. 而不是一个固定的重复数目 ( 10 在这个例子中) ,您可能还注明是“无限“ . 在这种情况下 winhex 将重复块到年底档案遭遇. “ exitloop “可以用来走出这条回路在任何时间“ ifequal “是有用的比较两个表达式. operands 可分为两个数值,是恒定值十进制,整型变量或公式, 或者字节序列作文字或 hex 值是比较 byte 字节. ascii 字符串表达式必须加上引号, hex 序列必须 prreced 了“ 0x “标识. 公式须括弧. r byte
13、ValueIfEqual Value 1ExitLoopEndIf 10“ ifequal “ 以结束“ endif “的声明. 如果比较表达都是相等的,模板的解释后继续“ ifequal “ . optionally , “ ifequal “可以遵循的不等的声明. 模板处理器支进入“ else “区块,如果表达不能划等号. “ ifequal “命令不能嵌套.“ ifgreater “类似于“ ifequal “ . 条件是正确的,如果第一表达的是大于二. 字符串按词典顺序进行比较. 为了便于阅读和导航模板 你可确定一组的变量,在对话框中会在不同组的变量用空间分开:section “.Se
14、ction Title.“.variable declaractions.endsection“section“, “endsection“, 和 “numbering“关键字都没有与当前位置的解释有关。有两个命令也不做变量声明,但被明确用来改变目前的位置. 可以跳过无关紧要的数据(向前移动)或能取得一定的变量不止一次 由于不同类型(反向运动) . 用“ move n “声明中跳过 n 字节,由目前的位置,其中 N 可说是消极的. “ goto n “ 到指定绝对位置,从一开始的模板解释(必须是位置) . : int32 “Disk serial number (decimal)“move -
15、4hex 4 “Disk serial number (hex)“ WinHexWinHex 模板入模板入门门教教程程WINHEX 模板, 模板教程Winhex 强大的模板功能，我们无需死记硬背每个字节的含义是什么，占用几个字节。不足的是，winhex 提供给我的模板是在是太少了，比如遇到一个陌生的文件系统，或者是文件结构，我们还得去记忆某个字节代表什么，zzzZZZZZ,很费时，效率又很低。我们今天就为大家讲述一下如何制作自己的模板，打开 winhex，然后选择“view”,-“template manger” 先看一下别人是怎么创建的。点 edit 按钮上图显示的就是模板的代码。templ
16、ate “Boot Sector NTFS“ 就是模板的名字，“NTFS 的引导扇区模板”，可以不写。description “Boot sector of an NTFS partition“ 描述，就是这个模板是做什么用；可以不写applies_to disk 适用于硬盘； sector-aligned 扇区对其；requires 0x00 “EB” 调用这个模板以后，软件就会自动检查，在偏移 00 的位置是否有0xEB 这两个字节，如果没有，winhex 就会弹出来一个消息框，提示再 0x00 的位置没有找到0xEB；可以设置多个标志，如本例中的 55AA 的结束标记在开始之前，在开始之前，简单简单普及一下数据普及一下数据类类型型Hex 十六进制Char 字符类型；Int 整型；（有负数）Uint
