滴水三期：day28.2-编写程序读取.exe文件的头字段

原创

已于 2023-04-22 03:30:43 修改 · 1.2k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#c++ #堆栈 #反汇编 #安全 #内存结构

于 2022-05-02 13:44:53 首次发布

本文档展示了如何使用C语言编写程序读取.exe文件，并详细解析PE头信息，包括DOS头、标准PE头和可选PE头。接着，通过第三方工具验证了所获取信息的一致性，着重于Windows可执行文件格式的底层理解。

一、作业

1.编写程序读取一个.exe文件，输出所有的PE头信息

#include "stdafx.h"
#include <stdlib.h>

typedef unsigned short WORD;
typedef unsigned int DWORD;
typedef unsigned char BYTE;

//宏定义MZ标记和PE标记，方便后面判断
#define MZ 0x5A4D
#define PE 0x4550

//DOS头
struct _IMAGE_DOS_HEADER {
	WORD e_magic;  //MZ标记
	WORD e_cblp;
	WORD e_cp;
	WORD e_crlc;
	WORD e_cparhdr;
	WORD e_minalloc;
	WORD e_maxalloc;
	WORD e_ss;
	WORD e_sp;
	WORD e_csum;
	WORD e_ip;
	WORD e_cs;
	WORD e_lfarlc;
	WORD e_ovno;
	WORD e_res[4];
	WORD e_oemid;
	WORD e_oeminfo;
	WORD e_res2[10];
	DWORD e_lfanew;  //PE文件真正开始的偏移地址
};

//标准PE头
struct _IMAGE_FILE_HEADER {
	WORD Machine;  //文件运行平台
	WORD NumberOfSections;  //节数量
	DWORD TimeDateStamp;  //时间戳
	DWORD PointerToSymbolTable;
	DWORD NumberOfSymbols;
	WORD SizeOfOptionalHeader;  //可选PE头大小
	WORD Characteristics;  //特征值
};

//可选PE头
struct _IMAGE_OPTIONAL_HEADER {
	WORD Magic;  //文件类型
	BYTE MajorLinkerVersion;