PE结构

pe结构.pdf 下载：https://download.youkuaiyun.com/download/uvarandmethod/10406805

重温PE结构：

1、DOS头
struct _IMAGE_DOS_HEADER {
0x00 WORD e_magic;//"MZ标记" 用于判断是否为可执行文件.
0x02 WORD e_cblp;
0x04 WORD e_cp;
0x06 WORD e_crlc;
0x08 WORD e_cparhdr;
0x0a WORD e_minalloc;
0x0c WORD e_maxalloc;
0x0e WORD e_ss;
0x10 WORD e_sp;
0x12 WORD e_csum;
0x14 WORD e_ip;
0x16 WORD e_cs;
0x18 WORD e_lfarlc;
0x1a WORD e_ovno;
0x1c WORD e_res[4];
0x24 WORD e_oemid;
0x26 WORD e_oeminfo;
0x28 WORD e_res2[10];
0x3c DWORD e_lfanew;//PE头相对于文件的偏移，用于定位PE文件
};
2、NT    nt头遍历  https://blog.youkuaiyun.com/uVarAndMethod/article/details/90575526
struct _IMAGE_NT_HEADERS {
0x00 DWORD Signature;               //5045  pe标记
0x04 _IMAGE_FILE_HEADER FileHeader;//标准PE头
0x18 _IMAGE_OPTIONAL_HEADER OptionalHeader;//可选PE头
};

（1）、标准PE头
struct _IMAGE_FILE_HEADER {
0x00 WORD Machine;    //程序运行的CPU型号：0x0 任何处理器/0x14C 386及后续处理器
0x02 WORD NumberOfSections;//文件中存在的节的总数,如果要新增节或者合并节 就要修改这个值
0x04 DWORD TimeDateStamp;//时间戳：文件的创建时间(和操作系统的创建时间无关)，编译器填写的
0x08 DWORD PointerToSymbolTable;
0x0c DWORD NumberOfSymbols;
0x10 WORD SizeOfOptionalHeader;//可选PE头的大小，32位PE文件默认E0h 64位PE文件默认为F0h  大小可以自定义.
0x12 WORD Characteristics;//每个位有不同的含义，可执行文件值为10F 即0 1 2 3 8位置1 
};
（2）、
struct _IMAGE_OPTIONAL_HEADER {
0x00 WORD Magic;    //说明文件类型：10B 32位下的PE文件     20B 64位下的PE文件
0x02 BYTE MajorLinkerVersion;
0x03 BYTE MinorLinkerVersion;
0x04 DWORD SizeOfCode;    //所有代码节的和，必须是FileAlignment的整数倍 编译器填的  没用
0x08 DWORD SizeOfInitializedData;//已初始化数据大小的和,必须是FileAlignment的整数倍 编译器填的  没用
0x0c DWORD SizeOfUninitializedData;//未初始化数据大小的和,必须是FileAlignment的整数倍 编译器填的  没用
0x10 DWORD AddressOfEntryPoint;//程序入口
0x14 DWORD BaseOfCode;//代码开始的基址，编译器填的   没用
0x18 DWORD BaseOfData;//数据开始的基址，编译器填的   没用
0x1c DWORD ImageBase; //内存镜像基址
0x20 DWORD SectionAlignment;//内存对齐
0x24 DWORD FileAlignment;//文件对齐
0x28 WORD MajorOperatingSystemVersion;
0x2a WORD MinorOperatingSystemVersion;
0x2c WORD MajorImageVersion;
0x2e WORD MinorImageVersion;
0x30 WORD MajorSubsystemVersion;
0x32 WORD MinorSubsystemVersion;
0x34 DWORD Win32VersionValue;
0x38 DWORD SizeOfImage;//内存中整个PE文件的映射的尺寸，可以比实际的值大，但必须是SectionAlignment的整数倍
0x3c DWORD SizeOfHeaders;//所有头+节表按照文件对齐后的大小，否则加载会出错
0x40 DWORD CheckSum;//校验和，一些系统文件有要求.用来判断文件是否被修改.
0x44 WORD Subsystem;
0x46 WORD DllCharacteristics;
0x48 DWORD SizeOfStackReserve;//初始化时保留的堆栈大小 
0x4c DWORD SizeOfStackCommit;//初始化时实际提交的大小
0x50 DWORD SizeOfHeapReserve;//初始化时保留的堆大小 
0x54 DWORD SizeOfHeapCommit;//初始化时实践提交的大小 
0x58 DWORD LoaderFlags;
0x5c DWORD NumberOfRvaAndSizes;//目录项数目
0x60 _IMAGE_DATA_DIRECTORY DataDirectory[16];
};

3、节表      节的描述信息;
IMAGE_SECTION_HEADER *pISH = (IMAGE_SECTION_HEADER *)((DWORD)pFileBuf + pIDH->e_lfanew + sizeof(IMAGE_NT_HEADERS));
typedef struct _IMAGE_SECTION_HEADER {
0x00 BYTE Name[IMAGE_SIZEOF_SHORT_NAME];//8个字节 一般情况下是以"\0"结尾的ASCII吗字符串来标识的名称，内容可以自定义.注意：该名称并不遵守必须以"\0"结尾的规律，如果不是以"\0"结尾，系统会截取8个字节的长度进行处理.
union {
0x08  DWORD PhysicalAddress;
0x08 DWORD VirtualSize;
} Misc;//双字 是该节在没有对齐前的真实尺寸,该值可以不准确。
0x0c DWORD VirtualAddress;//节区在内存中的偏移地址。加上ImageBase才是在内存中的真正地址.
0x10 DWORD SizeOfRawData; //节在文件中对齐后的尺寸.
0x14 DWORD PointerToRawData; //节区在文件中的偏移.
0x18 DWORD PointerToRelocations;//在obj文件中使用 对exe无意义
0x1c DWORD PointerToLinenumbers;//行号表的位置 调试的时候使用
0x20 WORD NumberOfRelocations;//在obj文件中使用  对exe无意义
0x22 WORD NumberOfLinenumbers;//行号表中行号的数量 调试的时候使用
0x24 DWORD Characteristics;//节的属性
};