170827 逆向-PE文件基本格式

1625-5 王子昂 总结《2017年8月27日》 【连续第328天总结】
A. PE文件基本格式
B.

介绍

PE文件是Windows操作系统下使用的可执行文件格式
包括：
　　可执行系列　　EXE, SCR
　　驱动程序系列　SYS, VXD
　　库系列　　　　DLL, OCX, CPL, DRV
　　对象文件系列　OBJ

基本结构

从DOS头到节区头是PE头部分，其下的节区合称PE体
文件中使用偏移OFFSET，内存中使用虚拟地址VA来表示位置。文件加载到内存中时，情况就会发生变化。
文件的内容一般可分为.text代码，.data数据，.rsrc资源，分别保存
各节区头定义了各节区在文件或内存中的大小、位置、属性等
PE头与各节区的尾部存在一个区域，称为NULL填充
　　计算机中为了提高数据、内存和网络包的效率，使用最小基本单位这一概念
　　PE文件中也类似，文件和内存中节区的起始位置应该在各文件、内存最小单位的倍数上，空白区域用NULL填充
C. 明日计划
PE文件头和RVA虚拟相对地址