PE头解析_手动（滴水）

文件存储在硬盘上和在内存上加载时文件内容几乎相同，位置不同
打开notepad.exe在硬盘上是从0开始，在内存中是从100000开始
应用程序、DLL和SYS程序的开头全都是4D 5A，他们都是PE文件
可以看到文件总是分成一段一段的，中间有很多0，我们叫它分节
硬盘中的段之间空隙小，内存中空隙大
文件中有一部分是代码，有一部分是数据，有的数据是可读可写，有的数据是只能读不能写

老的编译器硬盘对齐要求是200h，内存对齐要求是1000h
从硬盘文件加载到内存就是一个拉伸的过程
新的编译器硬盘对齐和内存对齐相同
PE文件分节的第二个原因是为了节省内存，多开的时候没有必要把所有的节都备份一份
我们应该将硬盘文件加载到内存中对应关系存储起来

PE中的DOS头，e_magic是“MZ”，e_lfanew指向PE头的位置

DOS头下跟的是NT头，NT头包括标准PE头和可选头