IMAGE_DOS_HEADER解析

预备知识

一、C32Asm

C32Asm是一款国产的16进制编辑器，可以十分方便的对二进制文件进行各种编辑操作，同时支持反汇编操作。
本系列实验主要使用C32Asm作为编辑器，同类的编辑工具还有WinHex、010Editor等。

二、PEiD

PEiD是一款查壳工具，可以查看PE文件的加壳信息，如果文件没有被加壳，则可以识别PE文件的编译器信息。此外，PEiD还可以用于查看PE文件的基本结构信息。

三、StudPE

StudPE可以查看PE文件的基本信息，同时支持对PE文件结构中相关字段的定位，即通过字段的选择，可以自动在16进制数据窗口中选择相关的数据。

四、LordPE

LordPE除了可以查看PE文件的基本信息之外，还支持对PE文件的编辑操作，可以修改PE文件中各个字段或者结构的数据然后进行保存。

实验目的

1）掌握C32Asm、PEiD、StudPE、LordPE等工具的基本使用方法；
2）了解PE文件相关的帮助文档；
3）了解PE文件的IMAGE_DOS_HEADER结构。

实验环境

服务器：Windows XP，IP地址：随机分配
辅助工具：C32Asm、PEiD、StudPE、LordPE

实验步骤一

环境配置以及C32Asm工具的使用。
PE文件学习相关的工具主要有C32Asm、PEiD、StudPE以及LordPE，这些工具全部存放于实验机器的C:\Tools目录下，同时在桌面存放有快捷方式。同时，为了方便快速启动这几个工具，可以把他们的快捷方式放到右键菜单的“发送到”菜单项下，具体的操作方法为：
1.点击“开始”菜单，点击“运行”并输入SendTo后点击“确定”按钮，即可在资源管理器中打开SendTo文件夹；
2.将桌面上的C32Asm、PEiD、StudPE、LordPE这四个工具的快捷方式复制到SendTo文件夹之下；
3.现在选中任意一个文件，通过右键菜单的“发送到（N）”选项，即可选择使用C32Asm、PEiD、StudPE或者LordPE这几种工具中的一种打开文件了。
在学习PE文件的结构时，记事本将会是我们经常操作的一个对象，这里复制了一个副本到C:\PE\notepad.exe。在资源管理器中打开C:\PE目录，将notepad.exe通过右键菜单发送到C32Asm，即可在C32Asm中打开notepad.exe文件了，操作步骤如下：
1.打开C:\PE，使用鼠标选中notepad.exe，单击鼠标右键