dllファイルへのレジストリデータ参照の負のオフセットを理解する

Question

私はほとんどmy last questionの答えを持っていますが、私は助けが必要です。

Windowsファイアウォールのルール（アップVistaとは）レジストリに格納されているHKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules

ルールの例：v2.0|Action=Allow|Active=TRUE|Dir=Out|Protocol=6|Profile=Domain|RPort=5722|App=%SystemRoot%\system32\dfsr.exe|Svc=Dfsr|Name=@FirewallAPI.dll,-32257|Desc=@FirewallAPI.dll,-32260|EmbedCtxt=@FirewallAPI.dll,-32252|Edge=FALSE|

私はデコードする必要があるフィールドが、私はそれがC:\WINDOWS\System32\FirewallAPI.dllを参照すると思うEmbedCtxt=@FirewallAPI.dll,-32252

ですが、私はその数字の仕組みを理解できません。ファイルは〜400KBです。

私はそれが符号なしshortであると思われるようないくつかのバリエーションを試しましたが、それは負ではないふりをして、最後からオフセットされているようなふりをしていました。

誰かに私のアイデアを教えてもらえますか？この数字は何を意味するのでしょうか？ DLLファイルについてはほとんど知りません。私が知っているすべてのセクション番号でもあります。

また、期待される出力のテキストを検索しようとしましたが、それは文字単位のバイトでもなく、UTF-16でもないか、間違っています。

Answer 1

レイモンドはそれをカバーしますhere。正の数はリソースのインデックスです。マイナス記号（マイナス記号を削除した後）はリソース識別子です。