windows可执行文件图标资源存放在独立的.rsrc节中，以rt_group_icon和rt_icon层级结构组织；修改需解析资源目录树、更新数据并修正校验和，不可直接替换字节或用updateresource操作磁盘文件。
Windows可执行文件图标资源存放在哪里
Windows的图标资源（RT_GROUP_ICON 和 RT_ICON）不是嵌在PE头或代码段里，而是存在独立的资源节（.rsrc）中，以层级结构组织：一个 RT_GROUP_ICON 条目指向多个 RT_ICON 条目（对应不同尺寸/色深），每个 RT_ICON 指向实际的 ICO 数据块。
这意味着不能靠简单替换二进制字节完成修改——必须解析资源目录树、定位目标组、更新图标数据、重写资源节，并修正校验和（否则系统可能拒绝加载）。
用 UpdateResource 修改图标失败的常见原因
UpdateResource 是最常被尝试的API，但它只适用于运行时已加载的模块（如DLL），**对磁盘上的EXE文件完全无效**。直接调用会返回 ERROR_ACCESS_DENIED 或静默失败。
正确路径是：用 BeginUpdateResource → UpdateResource → EndUpdateResource 三步操作磁盘文件。但注意：
-
BeginUpdateResource的第二个参数必须为FALSE（保留原资源），设为TRUE会清空所有现有资源 - 必须按顺序添加：先加所有
RT_ICON，再加对应的RT_GROUP_ICON，否则资源浏览器无法识别 - ICO数据必须是完整、合法的
ICONDIR+ICONDIRENTRY+BITMAPINFOHEADER结构，不能只塞入PNG或BMP原始数据 - 调用
EndUpdateResource时传FALSE表示“放弃更改”，传TRUE才真正写入——很多人忘了改这个参数
手动解析PE资源节修改图标的硬核方式
当需要精细控制（比如只换某一分辨率图标、保留签名、绕过UAC限制）时，必须自己解析PE结构。关键步骤如下：
- 用
CreateFile+MapViewOfFile读取EXE为只读映射，解析DOS头、NT头、可选头，定位资源目录 RVA 和大小 - 遍历资源目录树：先找
RT_GROUP_ICON类型 → 再找指定名称（如1）的组 → 解析其数据获取GRPICONGROUP结构，得知包含几个图标及各自ID - 对每个要替换的图标ID，定位其
RT_ICON条目，提取原始ICONIMAGE大小与偏移，用新ICO中对应尺寸的数据覆盖（注意：新数据长度必须 ≤ 原长度，否则需重建整个资源节） - 更新资源节的校验和：调用
ImageNtHeader获取NT头地址后，用CheckSumMappedFile（imagehlp.h）重新计算并写入OptionalHeader.CheckSum
这过程极易出错：RVA转FOA计算偏差、对齐边界（SectionAlignment / FileAlignment）没处理好、资源目录项数量未同步更新，都会导致EXE损坏。
推荐工具链与安全边界
生产环境不建议手撸PE资源编辑器。更稳妥的做法是：
- 用微软官方
rc.exe+link.exe重链接：把新图标编译进.res文件，再用link /RELEASE /INTEGRITYCHECK重新生成EXE（但会丢失原始签名） - 使用开源库如
pe-tools（C++）或pefile（Python）辅助解析，但写回仍需自己处理节对齐与校验和 - 若EXE已签名，任何资源修改都会使签名失效；想保留签名，只能用微软
signtool sign /as追加签名（需有证书+时间戳服务器）
最易被忽略的一点：Windows资源管理器会缓存图标（iconcache.db），修改后需重启explorer或运行 ie4uinit.exe -ClearIconCache 才能看到效果。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
