PE文件偏移地址分析

实验环境：Windows 10，LordPE，PEView

PE文件结构：PEview打开PE文件，可观察到PE文件的结构，由MZ文件头、DOS插桩程序、节表头、节（.text,.rdata,.data,.idata,.reloc）组成。

• PE文件被执行后，PE装载器首先检查MZ头及DOS头是否有签名，从而判定该PE文件是否有效，再读入PE头的总体信息，接着读取节表中的节信息，映射至内存，再根据PE文件中的导入表（IT）读取INT表和IAT表，INT表是存储函数名称、DLL名称信息，IAT表存储函数偏移地址等。PE文件运行时，从INT加载信息，把动态函数地址写入IAT中。