。

其中Dos头、Nt头和节表在本文中统称为PE文件头(因为SizeOfHeaders…

PE文件是由许许多多的结构体组成的程序在运行时就会通过这些结构快速定位到PE文件的各种资源其结构大致如图所示从上到下依次是Dos头、Nt头、节表、节区和调试信息(可选)。

其中Dos头、Nt头和节表在本文中统称为PE文件头(因为SizeOfHeaders就是这三个头的总大小)、节区则称为节,所以也可以说PE文件是由PE文件头和节组成。

PE文件头保存着整个PE文件的索引信息可以帮助PE装载器定位资源而节则保存着整个PE文件的所有资源。

正因为如此所以存在着这样的说法头是节的描述节是头的具体化。

一IMGAGE_DOS_HEADER

当我们用16进制编辑器打开一个PE文件时就会发现所有PE文件的前两个字节都是MZ,用十六进制表示是4D

Zbikowski的姓名缩写他是最初的MS-DOS设计者之一。

如果把PE文件的这两个字节修改成其他数据运行该PE文件就会无法正常运行(跳出黑窗口打印Program

too

memory然后闪退有兴趣的朋友可以尝试下)。

这里可以证明当PE文件运行时首先就会检测这两个字节如果不是MZ则会退出运行。

在该结构体中另一个重要成员就是最后一个成员e_lfanew。

该成员的大小是LONG类型4个字节。

之所以说它重要是因为它保存着IMAGE_NT_HEADERS32这个结构体在PE文件中的偏移地址PE文件运行时只有通过该成员才能定位到PE签名(也就是IMAGE_NT_HEADERS32结构体的起始位置)。

二IMAGE_DOS_STUB

在IMAGE_DOS_HEADER结构体后面紧跟着就是IMAGE_DOS_STUB程序它是运行在MS-DOS下的可执行程序当可执行文件运行于MS-DOS下时这个程序会打印This

program

mode这条消息。

用户可以自己更改该程序MS-DOS程序当前是可有可无的如果你想使文件大小尽可能的小可以省掉MS-DOS程序同时把前面的参数都清0。

三IMAGE_NT_HEADERS32

相对该结构的偏移0x00**IMAGE_FILE_HEADER

FileHeader;

相对该结构的偏移0x04**IMAGE_OPTIONAL_HEADER32

OptionalHeader;

这个结构体是整个PE文件的核心它是由一个Signature、一个IMAGE_FILE_HEADER结构体、一个IMAGE_OPTIONAL_HEADER32结构体组成的。

所以从整体看来这个结构比较简单但实际上其内部结构较为复杂我将会在下方对两个结构体进行详细的介绍。

Signature

也称作PE签名这个成员和DOS头的MZ标记一样都是一个PE文件的标准特征只不过这个成员是DWORD类型大小为4字节如果把这个PE签名修改后程序也是不会正常运行的(跳出黑窗口打印This

program

mode然后闪退可能是因为修改PE签名后无法识别后续内容的关系吧)。

如果把MZ标志和PE签名同时改变的话其效果和只修改MZ是一样的可见程序在载入时是先检测MZ标志然后才检测PE签名的。

四IMAGE_FILE_HEADER

所表示的是计算机的体系结构类型也就是说这个成员可以指定该PE文件能够在32位还是在64位CPU上执行。

如果强行更改该数值程序就会报错。

该成员可以是以下的数值

NumberOfSections

它的含义就是当前PE文件的节区数量虽然它是大小是两个字节但是在windows加载程序时会将节区的最大数量限制为96个。

TimeDateStamp

它的含义是时间戳用于表示该PE文件创建的时间时间是从国际协调时间也就是1970年1月1日00:00起开始计数的计数单位是秒。

例如0x5CFBB225的计算方法如下

通过计算从1970年到2024年一共有*个闰年(通过闰年计算器获得)到1月有*天。

秒0x5CFBB225

分0x5CFBB225

它存储该PE文件的可选PE头的大小在32位PE文件中可选头大小为0xE064位可选头大小为0xF0。

正因为如此所以就必须通过该成员来确定可选PE头的大小。

Characteristics

它描述了PE文件的一些属性信息比如是否可执行是否是一个动态连接库等。

该值可以是一个也可以是多个值的和具体定义如下:

typedef

DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];

Magic

该成员保存着文件被执行时的入口地址它是一个RVA。

如果想要在一个可执行文件中附加了一段代码并且要让这段代码首先被执行就可以通过更改入口地址到目标代码上然后再跳转回原有的入口地址。

ImageBase

该成员指定了文件被执行时优先被装入的地址如果这个地址已经被占用那么程序装载器就会将它载入其他地址。

当文件被载入其他地址后就必须通过重定位表进行资源的重定位这就会变慢文件的载入速度。

而装载到ImageBase指定的地址就不会进行资源重定位。

对于EXE文件来说由于每个文件总是使用独立的虚拟地址空间优先装入地址不可能被其他模块占据所以EXE总是能够按照这个地址装入这也意味着EXE文件不再需要重定位信息。

对于DLL文件来说由于多个DLL文件全部使用宿主EXE文件的地址空间不能保证优先装入地址没有被其他的DLL使用所以DLL文件中必须包含重定位信息以防万一。

因此在前面介绍的

IMAGE_FILE_HEADER

文件对应的IMAGE_FILE_RELOCS_STRIPPED位总是为0而EXE文件的这个标志位总是为1。

SectionAlignment

该成员指定了文件被装入内存时节区的对齐单位。

节区被装入内存的虚拟地址必须是该成员的整数倍以字节为单位并且该成员的值必须大于等于FileAlignment的值。

该成员的默认大小为系统的页面大小。

FileAlignment

该成员指定了文件在硬盘上时节区的对齐单位。

节区在硬盘上的地址必须是该成员的整数倍以字节为单位并且该成员的值必须大于等于FileAlignment的值。

该值应为200h到10000h(含)之间的2的幂。

默认为200h。

如果SectionAlignment的值小于系统页面大小则FileAlignment的值必须等于SectionAlignment的值。

SizeOfImage

该成员指定了文件载入内存后的总体大小包含所有的头部信息。

并且它的值必须是SectionAlignment的整数倍。

SizeOfHeaders

该成员指定了PE文件头的大小并且向上舍入为FileAlignment的倍数值的计算方式为

SizeOfHeaders

/*NT头*/sizeof(IMAGE_SECTION_HEADER)

NumberOfSections)

一般该结果不可能是FileAlignment的整数倍所以直接加上FileAlignment还是没问题的

NumberOfRvaAndSizes

该成员指定了可选头中目录项的具体数目由于以前发行的Windows

#define

这是一个8字节的ASCII字符串长度不足8字节时用0x00填充该名称并不遵守必须以\0结尾的规律如果不是以\0结尾系统会截取8个字节的长度进行处理。

可执行文件不支持长度超过8字节的节名。

对于支持超过字节长度的文件来说此成员会包含斜杠(/)并在后面跟随一个用ASCII表示的十进制数字该数字是字符串表的偏移量。

Misc.VirtualSize

这个成员在一个共用体中这个共用体中还有另外一个成员由于用处不大我们就不讲解了主要讲解VirtualSize的含义。

这个成员指定了该节区装入内存后的总大小以字节为单位如果此值大于SizeOfRawData的值那么大出的部分将用0x00填充。

这个成员只对可执行文件有效如果是obj文件此成员的值为0。

VirtualAddress

指定了该节区装入内存虚拟空间后的地址这个地址是一个相对虚拟地址(RVA)它的值一般是SectionAlignment的整数倍。

它加上ImageBase后才是真正的虚拟地址。

SizeOfRawData

指定了该节区在硬盘上初始化数据的大小以字节为单位。

它的值必须是FileAlignment的整数倍如果小于Misc.VirtualSize那么该部分的其余部分将用0x00填充。

如果该部分仅包含未初始化的数据那么这个值将会为零。

PointerToRawData

指出零该节区在硬盘文件中的地址这个数值是从文件头开始算起的偏移量也就是说这个地址是一个文件偏移地址(FOA)。

它的值必须是FileAlignment的整数倍。

如果这个部分仅包含未初始化的数据则将此成员设置为零。

Characteristics

该成员指出了该节区的属性特征。

其中的不同数据位代表了不同的属性这些数据位组合起来就是这个节的属性特征