【PE结构】2.NT头、文件头、扩展头

最新推荐文章于 2024-06-03 21:10:17 发布
原创 最新推荐文章于 2024-06-03 21:10:17 发布 · 3k 阅读 · 12 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#NT头 #文件头 #扩展头

本文深入探讨PE文件结构，重点解析NT头的组成部分，包括4.1节的文件头和4.2节的扩展头，揭示Windows可执行文件的秘密。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一、前言
二、PE整体结构
三、DOS头

四、NT头

    4.1.文件头

    4.2.扩展头

五、区段头
最低0.47元/天 解锁文章

200万优质内容无限畅学
PE总结4---PE文件结构NT头
oBuYiSeng的博客
12-09 1013
IMAGE_NT_HEADERS的结构如下： IMAGE_NT_HEADERS STRUCT { DWORD //PE标志 0x00 IMAGE_FILE_HEADER //文件头 0x04 IMAGE_OPTIONAL_HEADER32 //扩展头 0x18 } IMAGE_NT_HEADERS ENDS       其中包
笔记:PE结构(2)NT头与文件头解析
Q324411601的博客
08-29 244
笔记:PE结构(2)NT头与文件头解析
4.PE文件之扩展PE头(IMAGE_OPTIONAL_HEADER)
kernelhack
10-26 6184
可选/扩展PE头IMAGE_OPTIONAL_HEADER,它有着比标准PE头(IMAGE_FILE_HEADER)更多的内容. IMAGE_OPTIONAL_HEADER 结构及成员含义如下: //大小: 32bit(0xE0) 64bit(0xF0) #define IMAGE_NUMBEROF_DIRECTORY_ENTRIES 16 typedef struct _IMAGE_OPTIONAL_HEADER { WORD Magic;
PE文件-NT头
weixin_45012273的博客
11-06 380
DOS头和NT头之间 存储着一些被DOS头使用的数据,包括一些提示字符串等等...但是这块数据的长度不确定,所以DOS头的最后一个成员指向了新PE的位置 NT头格式 typedef struct _IMAGE_NT_HEADERS { DWORD Signature; //标记 判断是否是PE文件的第二个标志 值为0x4550 PE00 IMAGE_FILE_HEADER FileHeader; // 文件头 IMAGE_OPTIONAL_HEADER32.
PE文件结构 - NT头学习
bcbobo21cn的专栏
03-20 1058
PE文件基本结构如下； 学习一下NT头； NT头，包含一个4字节的Signature，以及两个结构体IMAGE_FILE_HEADER（文件头）和IMAGE_OPTIONAL_HEADER（扩展头）。 NT头：Signature，文件头，扩展头； 其定义如下； 这个是微软定义的； typedef struct _IMAGE_NT_HEADERS { DWORD Signature; IMAGE_FILE_HEADER FileHeader; IMAGE_OPTIONAL_H...
PE文件结构详解之头信息解析
最新发布
meis27461的博客
06-03 1357
PE文件（Portable Executable File）是Windows上最常见的可执行文件，按文件后缀来说就是.exe.dll文件，还有一些其他的文件，例如.sys系统文件，不过最常见以及常用的就是.exe和.dll，在初学阶段狭义上也可以就把PE文件就理解成.exe和.dll文件。其中的e_magic参数可以用来判断这个文件是不是PE文件。e_lfanew表示的是新的PE头的偏移位置，例如程序的起始地址是0x01，e_lfanew的值是0xF0，那么新的PE头的位置就是0x01+0xF0。
【PE结构】1.PE文件结构、DOS头
SMOne
06-22 1501
一、前言二、PE整体结构三、DOS头四、NT头    4.1.文件头    4.2.扩展头五、区段头六、导出表七、导入表八、资源表九、其他表一、前言PE（PortableExecutable）文件，也就是Windows操作系统上的可执行文件，不仅仅是扩展名为EXE的文件，还包括DLL、SYS、COM、OCX等多种文件。Windows操作系统树大招风，运行在上面的各种应用程序（PE文件）自然成了很多...
pe 文件编程：编辑文件头.rar_asm win32_pe_头文件_编程文件
09-19
"PE 文件编程：编辑文件头.rar_asm win32_pe_头文件_编程文件"这个主题涉及到的是如何通过汇编语言（ASM）对PE文件的头部进行编程和修改。在本文中，我们将深入探讨PE文件结构、头部组件以及如何使用ASM进行编程。 ...
【PE结构】3.区段头
SMOne
06-23 2190
一、前言二、PE整体结构三、DOS头四、NT头    4.1.文件头    4.2.扩展头五、区段头六、导出表七、导入表八、资源表九、其他表五、区段头概念：    区段头表存储着PE文件主体也就是区段的一些属性。    整个区段头表，是一个结构体数组。    数组中的每个元素，也就是每个结构体，对应着PE文件主体中的一段数据，这段数据成为段或节。    结构体：    这个结构体在winnt.h中...
PE结构学习01-DOS头-NT头
05-09 354
什么是PE结构：PE（Portable Execute）文件是Windows下可执行文件的总称，常见的有DLL，EXE，OCX，SYS等，就是只要在Windos下的可执行程序的内部结构都是PE结构，就是一个程序代码的分布结构，什么位置放什么数据代码，是有一定格式的，不然就乱了，系统就找不到了。 为什么学习PE结构：逆向分析一个Windows程序，必须了解它的代码分布情况，知...
PeEdit PE文件头修改工具
08-18
安全可以用已经验证。
PE文件结构详解图。。。。。
11-10
PE文件结构图，非常详细，清晰，每个部分都有详细介绍。。。。。。。。。。。。。。。。。。。。。
扩充PE文件功能
03-21 1205
作者：rhett       扩充PE文件功能的方法大概有以下几种：  1 直接在PE中添加代码 ；这个实现起来比较难，要像病毒一样实现感染和自定位，而且添加的代码比较少， 因为都需要用汇编实现，编写复杂功能代码本身就是很累的事；  2 添加Dll，扩充功能的代码在Dll中实现。这样做有很多优点。原来的exe文件只需调用LoadLibrary()函数加载Dll就可以；  3 其他的还有补丁，外挂之
直接修改PE文件头PE标识字段的实验
bcbobo21cn的专栏
06-21 2112
PE是Microsoft为了让程序在Windows上可移植而做的一种文件格式规定。 Windows在执行exe程序的时候，PE文件加载器会按照约定加载exe程序，所以程序就正常地运行起来了。 比如像EXE，DLL，SYS这种格式的文件就是PE格式文件。 根据PE文件结构知识； PE头 IMAGE_NT_HEADER 的字段，IMAGE_NT_HEADER.Signature，偏移 ...
逆向基础：扩展PE头属性说明
lm19770429的专栏
11-02 170
typedef struct _IMAGE_NT_HEADERS64 { DWORD Signature; IMAGE_FILE_HEADER FileHeader; IMAGE_OPTIONAL_HEADER64 OptionalHeader; } IMAGE_NT_HEADERS64,*PIMAGE_NT_HEADERS64; typedef struct _IMAGE_NT_HEADERS { DWORD Signature;...
PE结构-Nt头部
小喇叭儿滴滴的吹
02-11 510
首先，我们需要知道如何定位到Nt头部，这个在上篇博客中Dos头部的e_lfanew字段中，该字段可定位到Nt头部 先来看一下这个32位的Nt结构 typedef struct _IMAGE_NT_HEADERS { DWORD Signature; //50 45 00 00 PE标志 IMAGE_FILE_HEADER FileHeader; //文件头 IMA...
[Rootkit] 进程隐藏 - 内存加载（寄生&僵尸进程）
优快云
07-16 8351
这就导致了另一个问题：同样一个段，在磁盘中相对文件起始的距离，和内存中相对imageBase的距离是不一样的(因为地址对齐，拉伸了)！所以只能把需要用到的这些系统函数统一放在一张叫做导入表的表格，explorer加载的时候还要挨个遍历导入表，一旦发现该PE文件用到了某些系统API，需要用这些API在内存的真实地址替换PE文件中call的地址(这也是用OD、x96dbg这些常见的调试器能找到这些系统函数的根本原因：都是系统提供的嘛，函数名必须保存起来，否则加载的时候没法替换成内存中真正的地址)！
PE 结构 ——笔记整理
4SecNet团队专栏
12-20 200
PE文件是Windows操作系统下的可执行文件，是微软在UNIX的COFF的基础上制作而成的，PE文件是指32位Windows操作系统的可执行文件（也称之为PE32） ，64位的Windows操作系统的可执行文件为 PE32+或者PE+，是PE32的一种扩展性形式. 一个PE文件的起始部分也就是PE头里边一般都存储着，这个PE文件在运行过程中所需要的资源以及空间的大小，当然还包括要加载那些DLL...
导入表注入
qq_41232519的博客
10-14 634
文章目录一 、流程二、演示三、完整代码 一 、流程 1、File-> FileBuffer 2、添加节 3、定位导入表 4、将导入表移动到新增的节里面 5、新增一个导入表 6、在导入表后面添加INT表和IAT表 7、INT和IAT表指向函数名 8、修正导入表 9、存盘 二、演示 1、File-> FileBuffer DWORD Size = 0; //用来接收数据大小 BOOL isok = FALSE; //用来接收写入磁盘是否成功 LPVOID pFileBuffer
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值