PE文件（一）

PE文件是指某一种格式的文件，exe，dll，sys等等 ，都是PE格式的文件。
PE文件大体可以分为两部分，头和主体，两个部分都会在内部进行细分，头由几个结构体组成，含这个文件一些描述信息，主体由多个段组成，包含文件的可执行代码和一些执行时要使用的资源，数据等等。
下面这张网上找的图作为参考

首先我们来看DOS头，DOS头是用来兼容DOS系统的，定义如下

typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
    WORD   e_magic;                     // Magic number
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // File address of new exe header
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

其中这个好几个成员 只需要记住第一个和最后一个就行，其他的大多已经没什么用了，其内容常年以0居多。

第一个成员 e_magic ,是一个标记，DOS头标志位，其值恒为4D5A ，在系统中用宏定义为 ：

#define IMAGE_DOS_SIGNATURE                 0x5A4D      // MZ

这个成员的作用是可以作为判断一个文件是否为PE文件，下面我们来看代码

#include "stdafx.h"
#include <windows.h>
bool IsPeFile(TCHAR Path[])
{
    HANDLE hFile =CreateFile(
        Path,
        GENERIC_READ | GENERIC_WRITE,
        NULL,
        NULL,
        OPEN_EXISTING,
        FILE_ATTRIBUTE_NORMAL,
        NULL);
    BOOL bSuccess = TRUE;
    DWORD dwFileSize = GetFileSize(hFile, 0);
    DWORD dwReadSize = 0;
    PBYTE buf = new BYTE[dwFileSize];
    memset(buf, 0, dwFileSize);
    ReadFile(hFile, buf, dwFileSize, &dwReadSize, NULL);

    PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)buf;
    if (pDos->e_magic !=IMAGE_DOS_SIGNATURE)
    {
        bSuccess = FALSE;
    }
    PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)(pDos->e_lfanew + buf);//找到NT头
    if (pNt->Signature != IMAGE_NT_SIGNATURE)
    {
        bSuccess = FALSE;
    }
    CloseHandle(hFile);
    delete buf;
    buf = nullptr;
    return bSuccess;
}

int _tmain(int argc, _TCHAR* argv[])
{

    bool bpe = IsPeFile(_T("E:\\FileCleaner2.0.exe"));//需要判断文件的路径
    if (bpe)
    {
        printf("是");
    }
    else
    {
        printf("不是");
    }
    return 0;
}

有了以上的代码就可以判断一个文件是否为PE文件。
最后一个成员 e_lfanew 标识NT头部在文件中的偏移，有了它就可以找到后面NT头在文件中的位置，在上面的代码中其实已经用过了这个成员
在这里：
PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)(pDos->e_lfanew + buf);

上面的代码不但判定了DOS头的标记，还判断了NT头的一个成员Signature，这个成员也是判断PE文件的标记。
下篇文章会讲到。