PE文件详解之MS-DOS头

MS-DOS头

   1，每个PE文件是以一个DOS程序开始的，有了它，一旦程序在DOS下执行，DOS才能识别出这是有效的执行体。

   2，PE文件的第一个字节起始于一个传统的MS-DOS头部，被称作为IMAGE_DOS_HEADER。

   3，IMAGE_DOS_HEADER 结构如下：

IMAGE_DOS_HEADER STRUCT
{
+0h WORDe_magic //Magic DOS signature MZ(4Dh 5Ah)     DOS可执行文件标记
+2h WORDe_cblp//Bytes on last page of file  
+4h WORDe_cp//Pages in file
+6h WORD e_crlc//Relocations
+8h WORDe_cparhdr   //Size of header in paragraphs
+0ah WORD e_minalloc  //Minimun extra paragraphs needs
+0ch WORDe_maxalloc  //Maximun extra paragraphs needs
+0eh WORDe_ss  //intial(relative)SS value    DOS代码的初始化堆栈SS
+10h WORDe_sp  //intial SP value               DOS代码的初始化堆栈指针SP
+12h WORDe_csum  //Checksum
+14h WORDe_ip  //    intial IP value                   DOS代码的初始化指令入口[指针IP]
+16h WORDe_cs  //intial(relative)CS value                    DOS代码的初始堆栈入口
+18h WORDe_lfarlc  //File Address of relocation table
+1ah WORDe_ovno        //    Overlay number
+1ch WORDe_res[4]  //Reserved words
+24h WORDe_oemid  //    OEM identifier(for e_oeminfo)
+26h WORD      e_oeminfo   //    OEM information;e_oemid specific 
+29h WORDe_res2[10]   //    Reserved words
+3ch DWORD   e_lfanew     //Offset to start of PE header             指向PE文件头
} IMAGE_DOS_HEADER ENDS

     其实这么多，主要记住：

WORD e_magic  //---DOS可执行文件标记.

DWORD e_lfanew   ///--- 指向PE文件头（这个是一个指针）。