逆向工程-PE文件结构

最新推荐文章于 2024-11-04 15:01:48 发布

晚霞残影邀明月

最新推荐文章于 2024-11-04 15:01:48 发布

阅读量340

点赞数

CC 4.0 BY-SA版权

分类专栏：逆向编程文章标签： PE 文件结构

本文链接：https://blog.youkuaiyun.com/qq_37774304/article/details/86768368

本文详细探讨了PE文件的组成部分，包括DOS文件头、标准PE头、可选头和节表，揭示了Windows可执行文件的核心构造。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

pe通常由以下几部分组成，DOS文件、标准PE头、可选头、节表和相应的节。

DOS文件头：

_IMAGE_DOS_HEADER{
	WORD e_magic; //MZ标记*，用于判断是否为可执行文件1
	WORD e_cblp;  //bytes on last page
	WORD e_cp;    //pages of file
	WORD e_crlc;  //relocations
	WORD e_cparhdr;//size of  header
	WORD e_minalloc;//mininum memory
	WORD e_maxalloc;//maxinum memory
	WORD e_ss;      //initial ss value
	WORD e_sp;      //initial sp value
	WORD e_csum;    //checksum
	WORD e_ip;      //initial ip value
	WORD e_cs;      //initial cs value
	WORD e_lfarlc;  //table offset
	WORD e_ovno;    //overlay number
	WORD e_res[4];  //reserved words
	WORD e_oemid;   //oem identifier
	WORD e_oeminfo; //oem information
	WORD e_res2[10];//reserved words
	DWORD e_lfanew;//PE头相对于文件的偏移，用于定位PE文件*1
}

标准PE头：

struct _IMAGE_FILE_HEADER{
	WORD Machine;*程序运行的CPU型号：0x0任何处理器/0x14c 386及后续处理器1
	WORD NumberOfSections;*文件中存在的节的总数，如果要新增节或合并节就需要修改这个值1
	DWORD TimeDateStamp;*时间戳：文件的创建时间和操作系统的创建时间无关，编译器填写的
	DWORD PointerToSymbolTable