PE 文件格之总体结构

PE 文件格，也可以直接说，是可执行文件。也就是大家熟悉的exe、dll、ocx等类型的文件。（当然，并不是所有此类型的都是PE文件）。
Function NtCreateSection creates Section Object (virtual memory block with associated file),pe文件就是使用这个API来，分配虚拟内存块。
PE分三大块
一、Dos头，主要用于兼容Dos程序。
二、PE头，用于记录，文件相关信息

三、结点，用于记录结点的信息。

1、DOS头，DOS程序，为了兼容dos程序。

typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature;//魔术字， 50 45 00 00("PE",0x00004550)
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;


typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;//程序类型，X86、Intel Itanium、X64
    WORD    NumberOfSections;//节点的个数，与下面“三”相关
    DWORD   TimeDateStamp;//程序被链接器创建时的时间，This represents the date and time the image was created by the linker
    DWORD   PointerToSymbolTable;//符号表偏移
    DWORD   NumberOfSymbols;//符号表个数
    WORD    SizeOfOptionalHeader;//IMAGE_OPTIONAL_HEADER结构体的大小，一般在X86是224
    WORD    Characteristics;//文件类型，是exe、dll、systemfile等，
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;


typedef struct _IMAGE_OPTIONAL_HEADER {
    // Standard fields.
    WORD    Magic;//文件只读或可运行
    BYTE    MajorLinkerVersion;//版本，大号
    BYTE    MinorLinkerVersion;//版本，小号
    DWORD   SizeOfCode;//段中，代码的长度（大小）
    DWORD   SizeOfInitializedData;//已初始化的数据
    DWORD   SizeOfUninitializedData;//未初如化数据（与已初始化的区别，在磁盘文件中没有对应的数据，但具有大小，当分配内存时，依然会分配，并将其置0，所以，未初始化的全局或静态变量，会是0，这只是其中一种方式，还会有其它的方式，待研究...）
    DWORD   AddressOfEntryPoint;//程序的入口地址（偏移地址，相对ImageBase）
    DWORD   BaseOfCode;//代码段的基址，（偏移地址，相对ImageBase）
    DWORD   BaseOfData;//数据段的基址，（偏移地址，相对ImageBase）
    // NT additional fields.
    DWORD   ImageBase;//虚拟内存的地址,（并不完全固定，有可能会由于冲突而重定向）
    DWORD   SectionAlignment;//节对齐（在内存内）,一定会大于等于FileAlignment,一个节点位置（相对）、大小，必须是这个数的倍数。
    DWORD   FileAlignment;//文件对齐，同上
    WORD    MajorOperatingSystemVersion;//运行系统最大要求
    WORD    MinorOperatingSystemVersion;//运行系统最要求
    WORD    MajorImageVersion;//映象文件主版本号
    WORD    MinorImageVersion;//映象文件次版本号
    WORD    MajorSubsystemVersion;//子系统主版本
    WORD    MinorSubsystemVersion;//子系统次版本
    DWORD   Win32VersionValue;//必须为0，（不知何用，求解）
    DWORD   SizeOfImage;//映像大小，虚拟内存大小
    DWORD   SizeOfHeaders;//这个PE头的大小，也就是此PE头这个段的大小
    DWORD   CheckSum;
    WORD    Subsystem;//The subsystem required to run this image,子系统要求，GUI、CUI and so on;(GUI  Graphical user interface图形用户接口，CUI Command user interface)
    WORD    DllCharacteristics;//属性
    DWORD   SizeOfStackReserve;//保留栈大小
    DWORD   SizeOfStackCommit;//初始化栈大小
    DWORD   SizeOfHeapReserve;//保留堆大小
    DWORD   SizeOfHeapCommit;//初始化栈大小
    DWORD   LoaderFlags;//已过时
    DWORD   NumberOfRvaAndSizes;//下面结构的个数
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;
IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;
    DWORD   Size;
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
分别为：
0  Export Table //导出表
1  Import Table //导入表
2  Resource Table//资源表
3  Exception Table //异常表
4  Certificate File//证书表，数字验证等
5  Relocation Table//重定位表
6  Debug Data //调试表
7  Architecture Data 
8  Global Ptr 
9  TLS Table
10 Load Config Table
11 Bound Import Table 
12 Import Address Table a
13 Delay Import Descriptor 
14 COM+/CLI Header
15 Reserved = 00000000//全0，结束标志
   Reserved = 00000000

3、节点表
这个表的个数:IMAGE_FILE_HEADER.NumberOfSections,见上。

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];//名字，8字节长度，例如：".text" 、".data"、".rsrc"等
    union {
            DWORD   PhysicalAddress;//物理地址
            DWORD   VirtualSize;//大小
    } Misc;
    DWORD   VirtualAddress;//RVA
    DWORD   SizeOfRawData;
    DWORD   PointerToRawData;
    DWORD   PointerToRelocations;
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;//属性
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

以上是PE结构示意。

之后，会着重分析，导入表、导出表、资源表等

我的PE文件分析：http://download.csdn.net/download/he702477275/4968971