PE文件详解1——PE文件头部解析

最新推荐文章于 2024-07-29 16:32:12 发布

ToringZZZ

最新推荐文章于 2024-07-29 16:32:12 发布

阅读量2.9k

点赞数 2

分类专栏： windows编程

本文链接：https://blog.csdn.net/sinat_34260423/article/details/51767378

版权

本文详细探讨了PE文件的基本结构，包括DOS头、NT头及其子结构体，尤其是PE文件标准PE头和PE扩展头，它们分别用于识别文件类型和包含关键属性。此外，还介绍了数据目录项和节表项的数据结构，这些都是理解PE文件格式不可或缺的部分。

摘要由CSDN通过智能技术生成

参考书籍：《WindowsPE文件权威指南》
MSDN中winnt.h是PE文件定义的最终决定者。
EXE文件与DLL文件之间的区别完全是语义上的，二者PE结构完全相同。唯一区别用一个字段标示处这个文件是exe还是dll。许多DLL扩展，如OCX控件，控制面板等都是DLL，它们有一样的实体。

64位的Windows只是对PE格式做了一些简单的修饰，新格式叫PE32+。没有新的结构加进去，其余的改变只是简单地将以前的32位字段扩展为64位字段。

1.PE文件基本结构：

PE文件的头分为DOS头、NT头、节头。注意，这是本人的分法。这样分法会更加合理，更易理解。因为这三个部分正好构成SizeOfHeaders所指的范围，所以将它们合为“头”。

2.文件头

2.1 DOS头

用记事本打开任何一个镜像文件，其头2个字节必为字符串“MZ”，这是Mark Zbikowski的姓名缩写，他是最初的MS-DOS设计者之一。然后是一些在MS-DOS下的一些参数，这些参数是在MS-DOS下运行该程序时要用到的。在这些参数的末尾也就是文件的偏移0x3C（第60字节）处是是一个4字节的PE文件签名的偏移地址。该地址有一个专用名称叫做“E_lfanew”。这个签名是“PE00”（字母“P”和“E”后跟着两个空字节）。紧跟着E_lfanew的是一个MS-DOS程序。那是一个运行于MS-DOS下的合法应用程序。当可执行文件（一般指exe、com文件）运行于MS-DOS下时，这个程序显示“This program cannot be run in DOS mode（此程序不能在DOS模式下运行）”这条消息。用户也可以自己更改该程序，有些还原软件就是这么干的。同时，有些程序既能运行于DOS又能运行于Windows下就是这个原因。Notepad.exe整个DOS头大小为224个字节，大部分不能在DOS下运行的Win32文件都是这个值。MS-DOS程序是可有可无的，如果你想使文件大小尽可能的小可以省掉MS-DOS程序，同时把前面的参数都清0。

2.1.1 DOS头结构体

typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
    WORD   e_magic;                     // Magic number                             //EXE标志 "MZ"
    WORD   e_cblp;                      // Bytes on last page of fil