C++打印PE文件头信息Demo

最新推荐文章于 2021-09-27 09:32:41 发布
最新推荐文章于 2021-09-27 09:32:41 发布
阅读量228 收藏 3
点赞数
文章标签： c/c++ 操作系统
原文链接：http://www.cnblogs.com/oyjj/archive/2011/06/09/2132855.html
版权

PE文件格式被组织为一个线性的数据流，它由一个MS-DOS头部开始，接着是一个是模式的程序残余以及一个PE文件标志，这之后紧接着PE文件头和可选头部。这些之后是所有的段头部，段头部之后跟随着所有的段实体。文件的结束处是一些其它的区域，其中是一些混杂的信息，包括重分配信息、符号表信息、行号信息以及字串表数据。

PE文件主要信息按顺序

IMAGE_DOS_HEADER MS-DOS MZ头部

DOS STUB MS-DOS 实模式残余程序

NTSIGNATURE PE文件标识

IMAGE_FILE_HEADER PE文件头

IMAGE_OPTIONAL_HEADER PE可选头

IMAGE_SECTION_HEADER 多个段

包括.text .bss .rdata等

更详细的信息请参考：http://www.vckbase.com/document/viewdoc/?id=1334

下面给出将头文件打印出来的源码：

PE.h

#ifndef _X_PE_H_
#define _X_PE_H_
//获取PE头基地址
#define SIZE_OF_NT_SIGNATURE sizeof(DWORD)
#define NTSIGNATURE(a) ((LPVOID)((BYTE *)a + ((PIMAGE_DOS_HEADER)a)->e_lfanew - 1))
#define PEFHDROFFSET(a) ((LPVOID)((BYTE *)a + ((PIMAGE_DOS_HEADER)a)->e_lfanew - 1 + SIZE_OF_NT_SIGNATURE))
#define OPTHDROFFSET(a) ((LPVOID)((BYTE *)a + ((PIMAGE_DOS_HEADER)a)->e_lfanew - 1 + SIZE_OF_NT_SIGNATURE + sizeof(IMAGE_FILE_HEADER)))
DWORD WINAPI ImageFileType (LPVOID lpFile);
#endif

　　

PE.cpp

#include <windows.h>
#include <stdio.h>
#include <iostream>
#include "pe.h"
using namespace std;
//PE文件类型判断
DWORD WINAPI ImageFileType (LPVOID lpFile)
{
/* 首先出现的是DOS文件标志 */
if (*(USHORT *)lpFile == IMAGE_DOS_SIGNATURE)
    {
/* 由DOS头部决定PE文件头部的位置 */
if (LOWORD (*(DWORD *)NTSIGNATURE (lpFile)) ==
            IMAGE_OS2_SIGNATURE ||
            LOWORD (*(DWORD *)NTSIGNATURE (lpFile)) ==
            IMAGE_OS2_SIGNATURE_LE)
return (DWORD)LOWORD(*(DWORD *)NTSIGNATURE (lpFile));
else if (*(DWORD *)NTSIGNATURE (lpFile) ==
            IMAGE_NT_SIGNATURE)
return IMAGE_NT_SIGNATURE;
else
return IMAGE_DOS_SIGNATURE;
    }
else
/* 不明文件种类 */
return 0;
}
int main()
{
//业务信息参考
//http://www.vckbase.com/document/viewdoc/?id=1334
    
    CHAR szBuf[2048];
    FILE* pFile=fopen("E://task//Win32//Debug//win32.exe","r");//这里加载一个PE文件
    int iRead=fread(szBuf,1,2048,pFile);

//MZ-DOS头
    IMAGE_DOS_HEADER* dos;
    dos=(IMAGE_DOS_HEADER*)szBuf;
    cout.setf(ios::hex,ios::basefield);//设置十六进制显示数值
    cout.setf(ios::showbase|ios::uppercase);//设置0x头和大写
    cout<<"dos->e_magic="<<dos->e_magic<<endl;
    cout<<"dos->e_lfanew="<<dos->e_lfanew<<endl;
    cout<<"NTSIGNATURE="<<*(DWORD *)NTSIGNATURE(szBuf)<<endl;
    cout<<"ImageFileType="<<ImageFileType(szBuf)<<" is ";
switch(ImageFileType(szBuf))
    {
case IMAGE_DOS_SIGNATURE://MZ
        cout<<"IMAGE_DOS_SIGNATURE"<<endl;
break;
case IMAGE_OS2_SIGNATURE://NE
        cout<<"IMAGE_OS2_SIGNATURE"<<endl;
break;
case IMAGE_OS2_SIGNATURE_LE:
        cout<<"IMAGE_OS2_SIGNATURE_LE"<<endl;
break;
case IMAGE_NT_SIGNATURE:
        cout<<"IMAGE_NT_SIGNATURE"<<endl;
    }

    cout<<"PEFHDROFFSET="<<PEFHDROFFSET(szBuf)<<endl;
//PE必选头
    PIMAGE_FILE_HEADER header =(PIMAGE_FILE_HEADER)PEFHDROFFSET(szBuf);
    cout<<"Machine="<<header->Machine<<endl;
    cout<<"区段数NumberOfSections="<<header->NumberOfSections<<endl;
    cout<<"建立时间TimeDateStamp="<<header->TimeDateStamp<<endl;
    cout<<"PointerToSymbolTable="<<header->PointerToSymbolTable<<endl;
    cout<<"可选头部大小SizeOfOptionalHeader="<<header->SizeOfOptionalHeader<<endl;
    cout<<"特征Characteristics="<<header->Characteristics<<endl;

//PE可选头
    PIMAGE_OPTIONAL_HEADER opHeader=(PIMAGE_OPTIONAL_HEADER)OPTHDROFFSET(szBuf);
    cout<<"魔术字Magic="<<opHeader->Magic<<endl;//0x010B为.EXE，0x0107为ROM映像
    cout<<"连接器主版本MajorLinkerVersion="<<(short)opHeader->MajorLinkerVersion<<endl;
    cout<<"连接器副版本MinorLinkerVersion="<<(short)opHeader->MinorLinkerVersion<<endl;
    cout<<"可执行代码大小SizeOfCode="<<opHeader->SizeOfCode<<endl;
    cout<<"已初始化的数据大小SizeOfInitializedData="<<opHeader->SizeOfInitializedData<<endl;
    cout<<"未初始化的数据大小SizeOfUninitializedData="<<opHeader->SizeOfUninitializedData<<endl;
    cout<<"入口点AddressOfEntryPoint="<<opHeader->AddressOfEntryPoint<<endl;
    cout<<"代码基址(.text段)BaseOfCode="<<opHeader->BaseOfCode<<endl;
    cout<<"数据基址(.bss段)BaseOfData="<<opHeader->BaseOfData<<endl;
    cout<<"映像基址ImageBase"<<opHeader->ImageBase<<endl;//进程映像地址空间中的首选基地址,Windows NT的Microsoft Win32 SDK链接器将这个值默认设为0x00400000，但是你可以使用-BASE:linker开关改变这个值。 
    cout<<"区段对齐SectionAlignment="<<opHeader->SectionAlignment<<endl;
    cout<<"FileAlignment="<<opHeader->FileAlignment<<endl;
    cout<<"NT主版本号MajorOperatingSystemVersion="<<opHeader->MajorOperatingSystemVersion<<endl;
    cout<<"NT副版本号MinorOperatingSystemVersion="<<opHeader->MinorOperatingSystemVersion<<endl;
    cout<<"应用程序主版本号MajorImageVersion="<<opHeader->MajorImageVersion<<endl;
    cout<<"应用程序副版本号MinorImageVersion="<<opHeader->MinorImageVersion<<endl;
    cout<<"Win32子系统主版本号MajorSubsystemVersion="<<opHeader->MajorSubsystemVersion<<endl;
    cout<<"Win32子系统副版本号MinorSubsystemVersion="<<opHeader->MinorSubsystemVersion<<endl;
    cout<<"SizeOfImage="<<opHeader->SizeOfImage<<endl;
    cout<<"头大小SizeOfHeaders="<<opHeader->SizeOfHeaders<<endl;
    cout<<"校验和CheckSum="<<opHeader->CheckSum<<endl;//私有算法
    cout<<"子系统Subsystem="<<opHeader->Subsystem<<endl;
    cout<<"DllCharacteristics="<<opHeader->DllCharacteristics<<endl;
    cout<<"SizeOfStackReserve="<<opHeader->SizeOfStackReserve<<endl;
    cout<<"SizeOfStackCommit="<<opHeader->SizeOfStackCommit<<endl;
    cout<<"SizeOfHeapReserve="<<opHeader->SizeOfHeapReserve<<endl;
    cout<<"SizeOfHeapCommit="<<opHeader->SizeOfHeapCommit<<endl;
    cout<<"LoaderFlags="<<opHeader->LoaderFlags<<endl;
    cout<<"NumberOfRvaAndSizes="<<opHeader->NumberOfRvaAndSizes<<endl;
    cout<<"导出表RVA:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress<<endl;
    cout<<"导出表大小:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].Size<<endl;
    cout<<"导入表RVA:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress<<endl;
    cout<<"导入表大小:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].Size<<endl;
    cout<<"资源RVA:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_RESOURCE].VirtualAddress<<endl;
    cout<<"资源大小:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_RESOURCE].Size<<endl;
    cout<<"TLSRVA:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_TLS].VirtualAddress<<endl;
    cout<<"TLS大小:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_TLS].Size<<endl;
    cout<<"调试RVA:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_DEBUG].VirtualAddress<<endl;
    cout<<"调试:"<<opHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_DEBUG].Size<<endl;

    cout<<sizeof(IMAGE_OPTIONAL_HEADER)<<endl;
    PIMAGE_SECTION_HEADER ps=(PIMAGE_SECTION_HEADER)((BYTE*)opHeader+sizeof(IMAGE_OPTIONAL_HEADER));

//打印所有的段信息
    for (int i=0;i<header->NumberOfSections;i++)
    {
        cout<<endl;
        cout<<"Name="<<ps[i].Name<<endl;
        cout<<"PhysicalAddress="<<ps[i].Misc.PhysicalAddress<<endl;
        cout<<"VirtualSize="<<ps[i].Misc.VirtualSize<<endl;
        cout<<"VirtualAddress="<<ps[i].VirtualAddress<<endl;
        cout<<"SizeOfRawData="<<ps[i].SizeOfRawData<<endl;
        cout<<"PointerToRawData="<<ps[i].PointerToRawData<<endl;
        cout<<"PointerToRelocations="<<ps[i].PointerToRelocations<<endl;
        cout<<"PointerToLinenumbers="<<ps[i].PointerToLinenumbers<<endl;
        cout<<"NumberOfRelocations="<<ps[i].NumberOfRelocations<<endl;
        cout<<"NumberOfLinenumbers="<<ps[i].NumberOfLinenumbers<<endl;
        cout<<"Characteristics="<<ps[i].Characteristics<<endl;
    }

return 0;
}

　　

转载于:https://www.cnblogs.com/oyjj/archive/2011/06/09/2132855.html

ahch8077
关注
【C++软件调试技术】C++软件开发维护过程中典型软件异常问题的排查与总结
dvlinker的技术专栏
04-15 7万+
本文以问答的方式进行展开，罗列了C++软件日常开发和维护中遇到的多个软件调试问题及有代表性的场景，给出详细的处置思路和处理办法，以供大家借鉴和参考。
手戳shellcode编写 第一课（动态函数地址调用函数）
最新发布
啊渊的专栏
08-21 256
在程序免杀中，我们通常不会直接通过函数名称方式来调用函数，一般都是通过执行shellcode来执行我们需要的代码。如果直接将exe文件解析出来的shellcode会发现这些shellcode不能直接运行，因为函数地址调用的问题。因此我们需要动态获取函数地址来调用shellcode。为了了解shellcode的基础，我们先使用c++源码方式来学习，如果动态的获取函数地址，然后再使用汇编编写以下功能实现shellcode的完成编写。
C/C++编程解析PE文件结构
考拉研究僧的博客
12-12 7195
PE的意思就是Portable Executable(可移植、可执行）PE文件结构图： PS：现在大多数PE文件都是加壳或者经过处理的，此程序只适用于最原始的PE文件关于PE文件的解析问题，可以参考我的另一篇博文《用Winhex软件解析PE文件》#include <stdio.h> #include <stdlib.h> #include <Windows.h> //函数计算导出／导入表的VA D
C++获取PE文件的入口点
杨航的专栏
03-12 2130
2009-10-07 10:17 C++获取PE文件的入口点 源码： #include "stdafx.h" #include #include using namespace std; int main(int argc, char* argv[]) { char *FileName = argv[1]; HANDLE hFile = CreateFile(Fi
PE文件结构分析程序(C++)
jzz5072的博客
01-18 831
该程序用与对PE文件的头文件以及数据目录表进行分析,并输出各个数据目录表以及头文件的关键字段 运行环境 Microsoft Visual Studio Professional 2017 Windows10 项目格式 头文件 Entry.h #pragma once #include <stdio.h> #include <Windows.h> //计算数据目录表起始位置到文件头的偏移 DWORD RvaToOffset(DWORD dwRva, char *buffer);
C++ 读取PE文件并十六进制打印输出
duhaomin的专栏
02-16 3939
分析PE结构的时候，想自己把里边的结构理解后打印LoadPE分析的东西，在此先把读取PE 结构的C++代码贴出来： #include #include #include #include #define MAX 16*10000 using namespace std; int value[MAX]; DWORD FileSize() { TCHAR szFileName[MAX_P
PE 学习 打印pe格式
h1028962069的专栏
08-26 977
// petool.cpp : Defines the entry point for the console application. //#include "stdafx.h" #include <stdlib.h> #include <windows.h> FILE *fp; IMAGE_DOS_HEADER myDosHeader; IMAGE_FILE_HEADER myFileHead
PE文件格式分析心得
11-07
- **e_lfanew**：32位地址，指向PE文件头的位置。 2. **PE Signature**：位于DOS MZ Header之后的是PE签名，由四个字节组成，通常为“PE\0\0”。 3. **IMAGE_NT_HEADERS**：这是一个复合结构体，包含了文件的大...
C++多进程数据共享
Boxingstar的博客
09-27 2036
C++多进程数据共享 1.创建子进程 int process_1(wchar_t commandLine2[]) { STARTUPINFO si = { sizeof(STARTUPINFO) };//在产生子进程时，子进程的窗口相关信息 PROCESS_INFORMATION pi; //子进程的ID/线程相关信息 DWORD returnCode;//用于保存子程进的返回值; //wchar_t commandLine2[] = L"../x64\\Debug
C++ 2：短裤
qq_42347617的博客
05-08 1002
C++ 短裤1. 引用1.1 定义1.2 应用：引用作为函数返回值1.3 常引用1.4 const 关键字2. 动态内存分配2.1 new运算符2.2 delete 运算符3. 内联函数 函数重载 函数缺省参数3.1 内联函数3.2 函数重载3.3 函数的缺省值类使用类的成员变量和成员函数 1. 引用 1.1 定义 r引用n，r等价与n（别名） r就是n，而不是n的副本，对r修改，n也跟着改变...
PE 头打印 c语言随笔
02-14
PE 头打印 c语言随笔，使用文件fseek定位，需要修改才能正确显示。简单。
pe文件解析:读取pe信息获取文件资源(源码)
03-01
读取pe信息获取文件资源 vc编写 不够长
bmp文件头信息读取---dos环境下
01-15
void main() { BITMAPFILEHEADER bitHead; BITMAPINFOHEADER bitInfoHead; FILE* pfile; char strFile[255]; printf("please input the .bmp file name:\n"); scanf("%s",strFile); pfile = fopen(strFile,"rb");//打开文件 if(pfile!=NULL) { //读取位图文件头信息 WORD bfType; fread(&bfType;,1,sizeof(WORD),pfile); if(bfType != 0x4d42) { printf("file is not .bmp file!"); return; } // fseek(pfile,2,SEEK_CUR); // "BM" fread(&bitHead;,1,sizeof(tagBITMAPFILEHEADER),pfile); showBmpHead(&bitHead;); printf("\n"); //读取位图信息头信息 // fseek(pfile,14,SEEK_CUR); fread(&bitInfoHead;,1,sizeof(BITMAPINFOHEADER),pfile); showBmpInforHead(&bitInfoHead;); printf("\n"); } else { printf("file open fail!\n"); return; } }
PE文件复看：打印PE头信息
KKMI的博客
05-31 853
PE文件解析打印头部信息1.把文件读取到堆空间 1.把文件读取到堆空间 以后对PE文件进行频繁的操作总是绕不开第一步，就是把PE文件的信息读取到自己申请的堆空间中，所以先实现这个函数，以便于以后频繁使用。 函数： ReadPEfile_TO_FileBuffer 功能说明： 把PE文件以二进制的读方式读取到FileBuffer堆空间 DWORD ReadPEfile_TO_FileBuffer(IN char* filepath, OUT void** FileBuffer) { //打开文件，读
将文件读取到内存、打印pe结构
aod83029的博客
06-16 183
#include <stdio.h> #include <malloc.h> #include <stdlib.h> #include <string.h> #define STREAMBUFFER 1024 #define FILEPATHSIZE 256 /** 将一个文件读到内存 return ...
打印PE目录数据信息
weixin_33878457的博客
03-14 141
printf("数据目录信息：\n"); PIMAGE_DATA_DIRECTORY MyDataDir; MyDataDir = PIMAGE_DATA_DIRECTORY((&MyOptionalHeader->NumberOfRvaAndSizes + 1));//定位目录位置 for (int i = 0; i < 16;i++) { ...
c++读取pe格式文件
云守护的专栏
01-09 3352
#include #include int main(int argc,char *argv[]) { FILE *fp; char filename[MAX_PATH]; IMAGE_DOS_HEADER DOS_header; //DOS头结构 IMAGE_NT_HEADERS nt_header; //PE头结构 IMAGE_SECTION_HEADER *ps
读取PE文件头的简单实现
dasgk的专栏
07-13 2942
// 读取PE文件头.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h" #include #include #include using namespace std; int _tmain(int argc, _TCHAR* argv[]) { HANDLE hFile=CreateFile(L"D:\\project\\Proc_Url\\Debug\
C/C++ 如何利用Adobe Acrobat Reader DC打印PDF文件
资源摘要信息:"C/C++ 调用Adobe Acrobat Reader DC实现PDF文件打印" 在当今数字化办公的背景下，处理PDF文件是每个IT专业人员必须掌握的技能之一。PDF文件因其良好的格式兼容性和阅读体验被广泛使用。打印PDF文件是...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值