PE文件详解之MS-DOS头

MS-DOS头

   1，每个PE文件是以一个DOS程序开始的，有了它，一旦程序在DOS下执行，DOS才能识别出这是有效的执行体。

   2，PE文件的第一个字节起始于一个传统的MS-DOS头部，被称作为IMAGE_DOS_HEADER。

   3，IMAGE_DOS_HEADER 结构如下：

[cpp]  view plain  copy

1. IMAGE_DOS_HEADER STRUCT  
2. {  
3. +0h WORDe_magic //Magic DOS signature MZ(4Dh 5Ah)     DOS可执行文件标记  
4. +2h WORDe_cblp//Bytes on last page of file    
5. +4h WORDe_cp//Pages in file  
6. +6h WORD e_crlc//Relocations  
7. +8h WORDe_cparhdr   //Size of header in paragraphs  
8. +0ah WORD e_minalloc  //Minimun extra paragraphs needs  
9. +0ch WORDe_maxalloc  //Maximun extra paragraphs needs  
10. +0eh WORDe_ss  //intial(relative)SS value    DOS代码的初始化堆栈SS  
11. +10h WORDe_sp  //intial SP value               DOS代码的初始化堆栈指针SP  
12. +12h WORDe_csum  //Checksum  
13. +14h WORDe_ip  //    intial IP value                   DOS代码的初始化指令入口[指针IP]  
14. +16h WORDe_cs  //intial(relative)CS value                    DOS代码的初始堆栈入口  
15. +18h WORDe_lfarlc  //File Address of relocation table  
16. +1ah WORDe_ovno        //    Overlay number  
17. +1ch WORDe_res[4]  //Reserved words  
18. +24h WORDe_oemid  //    OEM identifier(for e_oeminfo)  
19. +26h WORD      e_oeminfo   //    OEM information;e_oemid specific   
20. +29h WORDe_res2[10]   //    Reserved words  
21. +3ch DWORD   e_lfanew     //Offset to start of PE header             指向PE文件头  
22. } IMAGE_DOS_HEADER ENDS  

     其实这么多，主要记住：

WORD e_magic  //---DOS可执行文件标记.

DWORD e_lfanew   ///--- 指向PE文件头（这个是一个指针）。