pe格式从入门到图形化显示（一）-DOS头

---

---

前言

通过分析和解析Windows PE格式，并使用qt进行图形化显示

---

一、什么是Windows PE格式？

Windows PE使用了一种特定的可执行文件格式，称为PE格式（Portable Executable）。PE格式是Windows操作系统中使用的标准可执行文件格式，用于存储程序、库文件和驱动程序。它支持32位和64位的应用程序，并提供了动态链接、导入/导出表、资源管理和调试信息等功能。

PE格式包含了四个主要的部分：头部、节区表、节区和数据目录。头部包含了文件的基本信息，如文件类型、入口点和节区偏移等。节区表记录了每个节区的信息，如名称、偏移和大小等。节区是程序和数据的实际存储区域，如代码节区、数据节区和资源节区等。数据目录包含了一些重要的数据结构，如导出表、导入表和异常处理表等。

二、为什么要学习Windows PE格式

学习Windows PE文件格式可以让你了解和理解Windows操作系统中可执行文件的结构和组织方式。具体来说，学习Windows PE文件格式可以帮助你完成以下几个方面的工作：

反汇编和反编译：了解PE文件的结构可以帮助你将其转化为可读的汇编代码，以便进行静态分析、漏洞挖掘和逆向工程等任务。

调试和分析：通过学习PE文件格式，你可以更好地理解可执行文件在内存中的加载和运行情况，以便进行调试和动态分析。

文件修改和打包：有时候你可能需要修改PE文件，如修复漏洞、修改程序行为或插入恶意代码等。了解PE文件格式可以帮助你进行这些操作，并确保修改后的文件仍然是有效的可执行文件。

病毒和恶意软件分析：许多恶意软件和病毒使用PE文件格式作为主要载体。学习PE文件格式可以帮助你理解和分析这些恶意文件的行为和特征。

开发和编程：如果你是一个开发人员，学习PE文件格式可以帮助你更好地理解和使用Windows API，以及编写和调试Windows平台上的应用程序。

综上所述，学习Windows PE文件格式可以为你提供一系列在软件分析、安全研究和开发等领域中需要的技能和知识。

三、什么是DOS头?

DOS头（也称为MS-DOS Stub Program）位于PE（Portable Executable）文件的开头，并且是一个固定大小的结构体，通常为64字节（0x40字节）。它的主要作用是兼容旧的MS-DOS操作系统，当在MS-DOS环境下运行PE文件时，会执行这个Stub程序。但实际上，现代Windows系统在加载PE文件时会直接跳过DOS头，寻找位于文件偏移0x3C处的PE文件头。

四、解析DOS头并显示

1.DOS头数据结构

以下为DOS头中每个字段的含义
e_magic：用于标识文件的开头部分，通常为"MZ"（即0x4D 0x5A）。
e_cblp：表示DOS文件头的大小（以段为单位）。
e_cp：表示DOS文件头的大小（以段为单位）。
e_crlc：表示DOS文件头中的重定位项数量。
e_cparhdr：表示DOS文件头的大小（以段为单位）。
e_minalloc：表示DOS文件头的最小额外段数。
e_maxalloc：表示DOS文件头的最大额外段数。
e_ss：表示DOS文件头的初始堆栈段。
e_sp：表示DOS文件头的初始堆栈指针。
e_csum：表示DOS文件头的校验和。
e_ip：表示DOS文件头的初始指令指针。
e_cs：表示DOS文件头的初始代码段。
e_lfarlc：表示DOS文件头中的重定位表的文件偏移。
e_ovno：表示DOS文件头的覆盖号。
e_res：表示DOS文件头的保留字段。
e_oemid：表示DOS文件头的OEM标识符。
e_oeminfo：表示DOS文件头的OEM信息。
e_res2：表示DOS文件头的保留字段。
e_lfanew：表示PE文件头（IMAGE_NT_HEADERS）的开始位置。
在DOS文件头（IMAGE_DOS_HEADER）中，e_magic字段用于标识文件的开头部分，通常为"MZ"（即0x4D 0x5A）。这个字段在现代PE文件中仍然存在，但主要是为了兼容旧的MS-DOS操作系统。e_lfanew字段则指明了PE文件头（IMAGE_NT_HEADERS）的开始位置。这个字段在现代Windows系统中非常重要，因为它告诉操作系统如何找到PE文件的核心信息。然而，其他字段（如e_cblp、e_cp、e_crlc等）在现代PE文件中几乎已经废弃，因为它们主要用于描述MS-DOS环境下的程序信息。在现代Windows系统中，这些字段的信息已经被IMAGE_NT_HEADERS中的其他结构所取代。总之，虽然DOS文件头中的其他字段在现代PE文件中几乎已经废弃，但e_magic和e_lfanew字段仍然非常重要，因为它们用于标识文件类型和定位PE文件头。

struct IMAGE_DOS_HEADER
{