PE文件格式详解(1)

原创 2003年12月25日 10:32:00

摘要

  Windows NT 3.1引入了一种名为PE文件格式的新可执行文件格式。PE文件格式的规范包含在了MSDN的CD中(Specs and Strategy, Specifications, Windows NT File Format Specifications),但是它非常之晦涩。
  然而这一的文档并未提供足够的信息,所以开发者们无法很好地弄懂PE格式。本文旨在解决这一问题,它会对整个的PE文件格式作一个十分彻底的解释,另外,本文中还带有对所有必需结构的描述以及示范如何使用这些信息的源码示例。
  我为了获得PE文件中所包含的重要信息,编写了一个名为PEFILE.DLL的动态链接库,本文中所有出现的源码示例亦均摘自于此。这个DLL和它的源代码都作为PEFile示例程序的一部分包含在了CD中(译注:示例程序请在MSDN中寻找),你可以在你自己的应用程序中使用这个DLL;同样,你亦可以依你所愿地使用并构建它的源码。在本文末尾,你会找到PEFILE.DLL的函数导出列表和一个如何使用它们的说明。我觉得你会发现这些函数会让你从容应付PE文件格式的。

介绍

  Windows操作系统家族最近增加的Windows NT为开发环境和应用程序本身带来了很大的改变,这之中一个最为重大的当属PE文件格式了。新的PE文件格式主要来自于UNIX操作系统所通用的COFF规范,同时为了保证与旧版本MS-DOS及Windows操作系统的兼容,PE文件格式也保留了MS-DOS中那熟悉的MZ头部。
  在本文之中,PE文件格式是以自顶而下的顺序解释的。在你从头开始研究文件内容的过程之中,本文会详细讨论PE文件的每一个组成部分。
  许多单独的文件成分定义都来自于Microsoft Win32 SDK开发包中的WINNT.H文件,在这个文件中你会发现用来描述文件头部和数据目录等各种成分的结构类型定义。但是,在WINNT.H中缺少对PE文件结构足够的定义,在这种情况下,我定义了自己的结构来存取文件数据。你会在PEFILE.DLL工程的PEFILE.H中找到这些结构的定义,整套的PEFILE.H开发文件包含在PEFile示例程序之中。
  本文配套的示例程序除了PEFILE.DLL示例代码之外,还有一个单独的Win32示例应用程序,名为EXEVIEW.EXE。创建这一示例目的有二:首先,我需要测试PEFILE.DLL的函数,并且某些情况要求我同时查看多个文件;其次,很多解决PE文件格式的工作和直接观看数据有关。例如,要弄懂导入地址名称表是如何构成的,我就得同时查看.idata段头部、导入映像数据目录、可选头部以及当前的.idata段实体,而EXEVIEW.EXE就是查看这些信息的最佳示例。
  闲话少叙,让我们开始吧。

PE文件结构

  PE文件格式被组织为一个线性的数据流,它由一个MS-DOS头部开始,接着是一个是模式的程序残余以及一个PE文件标志,这之后紧接着PE文件头和可选头部。这些之后是所有的段头部,段头部之后跟随着所有的段实体。文件的结束处是一些其它的区域,其中是一些混杂的信息,包括重分配信息、符号表信息、行号信息以及字串表数据。我将所有这些成分列于图1。

图1.PE文件映像结构
  从MS-DOS文件头结构开始,我将按照PE文件格式各成分的出现顺序依次对其进行讨论,并且讨论的大部分是以示例代码为基础来示范如何获得文件的信息的。所有的源码均摘自PEFILE.DLL模块的PEFILE.C文件。这些示例都利用了Windows NT最酷的特色之一——内存映射文件,这一特色允许用户使用一个简单的指针来存取文件中所包含的数据,因此所有的示例都使用了内存映射文件来存取PE文件中的数据。
  注意:请查阅本文末尾关于如何使用PEFILE.DLL的那一段。(未完待续)

PE文件格式详解(一)

转载地址点击打开链接
  • zhao0811112157
  • zhao0811112157
  • 2014年12月26日 21:53
  • 1002

PE文件格式详解(1)

作者:MSDN 译者:李马 (http://home.nuc.edu.cn/~titilima) 摘要 Windows NT 3.1引入了一种名为PE文件格式的新可执行文件格式。PE文件格式...
  • Matrix_Designer
  • Matrix_Designer
  • 2010年09月12日 19:55
  • 318

PE文件格式概述

本章提要·           PE文件格式概述·           PE文件结构·           如何获取PE文件中的OEP·           如何获取PE文件中的资源·        ...
  • bairny
  • bairny
  • 2007年05月22日 11:00
  • 8356

图解用工具对PE文件格式做初步研究

工具: PETool,MiniHex,PEViewer 以本机notepad.exe为研究对象。本机64位,该notepad.exe是64位应用程序。 1 用peviewer打开 PE文件大体包括四部...
  • bcbobo21cn
  • bcbobo21cn
  • 2016年05月05日 14:12
  • 1748

PE文件格式详解(三)

PE可选头部   PE可执行文件中接下来的224个字节组成了PE可选头部。虽然它的名字是“可选头部”,但是请确信:这个头部并非“可选”,而是“必需”的。OPTHDROFFSET宏可以获得指向可选头部的...
  • BestBear
  • BestBear
  • 2004年06月28日 21:57
  • 1111

PE文件格式详解(上)

PE文件格式详解(上)作者:MSDN译者:李马 (http://home.nuc.edu.cn/~titilima) 摘要    Windows NT 3.1引入了一种名为PE文件格式的新可执行文件格...
  • fanfan1977
  • fanfan1977
  • 2008年05月30日 10:01
  • 129

pe文件格式详解(下)

PE文件格式详解(下)作者:MSDN译者:李马 (http://home.nuc.edu.cn/~titilima)预定义段    一个Windows NT的应用程序典型地拥有9个预定义段,它们是.t...
  • fanfan1977
  • fanfan1977
  • 2008年05月30日 10:37
  • 183

PE文件格式详解(下)

PE文件格式详解(下)作者:MSDN译者:李马 (http://home.nuc.edu.cn/~titilima)预定义段    一个Windows NT的应用程序典型地拥有9个预定义段,它们是.t...
  • EricChina
  • EricChina
  • 2006年12月16日 14:47
  • 694

PE文件格式详解(4)

PE文件段   PE文件规范由目前为止定义的那些头部以及一个名为“段”的一般对象组成。段包含了文件的内容,包括代码、数据、资源以及其它可执行信息,每个段都有一个头部和一个实体(原始数据)。我将在下面描...
  • titilima
  • titilima
  • 2003年12月28日 12:24
  • 1926

PE文件格式详解(一)

摘要   Windows NT 3.1引入了一种名为PE文件格式的新可执行文件格式。PE文件格式的规范包含在了MSDN的CD中(Specs and Strategy, Specifications, ...
  • BestBear
  • BestBear
  • 2004年06月28日 21:51
  • 1205
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:PE文件格式详解(1)
举报原因:
原因补充:

(最多只允许输入30个字)