小甲鱼的PE结构网页内容整理

PE格式详细讲解2 -系统篇02PE Header 是PE相关结构NT映像头（IMAGE_NT_HEADER）的简称，里边包含着许多PE装载器用到的重要字段。

下边小甲鱼将为大家详细讲解哈~首先是IMAGE_NT_HEADERS 结构的定义：（啥？结构不会，先看看小甲鱼童鞋的《零基础入门学习C语言》关于结构方面的章节吧~）IMAGE_NT_HEADERS STRUCT{+0h DWORD Signature+4h IMAGE_FILE_HEADER FileHeader+18h IMAGE_OPTIONAL_HEADER32OptionalHeader} IMAGE_NT_HEADERS ENDSSignature字段：在一个有效的 PE 文件里，Signature 字段被设置为00004550h, ASCII 码字符是“PE00”。

标志这 PE 文件头的开始。

“PE00”字符串是 PE 文件头的开始，DOS 头部的 e_lfanew 字段正是指向这里。

如下图所示：IMAGE_FILE_HEADER 结构IMAGE_FILE_HEADER 结构typedef struct _IMAGE_FILE_HEADER{+04h WORD Machine; // 运行平台+06h WORD NumberOfSections; // 文件的区块数目+08h DWORD TimeDateStamp; // 文件创建日期和时间+0Ch DWORD PointerToSymbolTable; // 指向符号表(主要用于调试)+10h DWORD NumberOfSymbols; // 符号表中符号个数(同上) +14h WORD SizeOfOptionalHeader; //IMAGE_OPTIONAL_HEADER32 结构大小+16h WORD Characteristics; // 文件属性} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;IMAGE_FILE_HEADER结构下边，小甲鱼童鞋为大家详细解释各个成员的含义和用法：（1）Machine：可执行文件的目标CPU类型。

Value MeaningIMAGE_FILE_MACHINE_I386x860x014cIMAGE_FILE_MACHINE_IA64Intel Itanium0×0200IMAGE_FILE_MACHINE_AMD64x640×8664（2）NumberOfSection: 区块的数目。

（注：区块表是紧跟在 IMAGE_NT_HEADERS 后边的）（3）TimeDataStamp: 表明文件是何时被创建的。

这个值是自1970年1月1日以来用格林威治时间（GMT）计算的秒数，这个值是比文件系统（FILESYSTEM）的日期时间更加精确的指示器。

如何将这个值翻译请看：传送门提示：VC的话可以用_ctime 函数或者 gmtime 函数。

（4）PointerToSymbolTable: COFF 符号表的文件偏移位置，现在基本没用了。

（5）NumberOfSymbols: 如果有COFF 符号表，它代表其中的符号数目，COFF符号是一个大小固定的结构，如果想找到COFF 符号表的结束位置，则需要这个变量。

（6）SizeOfOptionalHeader: 紧跟着IMAGE_FILE_HEADER 后边的数据结构（IMAGE_OPTIONAL_HEADER）的大小。

(对于32位PE文件，这个值通常是00E0h；对于64位PE32+文件，这个值是00F0h )。

（7）Characteristics: 文件属性，有选择的通过几个值可以运算得到。

( 这些标志的有效值是定义于 winnt.h 内的 IMAGE_FILE_** 的值，具体含义见下表。

普通的EXE文件这个字段的值一般是 0100h，DLL文件这个字段的值一般是 210Eh。

)小甲鱼温馨提示：多种属性可以通过“或运算”使得同时拥有！The characteristics of the image. This member can be one or more of the following values.（图像的特征。

这个成员可以是下列一个或多个值。

）Value MeaningIMAGE_FILE_RELOCS_STRIPPED 0×0001Relocation information was stripped fromthe file. The file must be loaded at its preferredbase address. If the base address is notavailable, the loader reports an error.搬迁的信息从文件删除。

该文件必须在其preferredbase地址加载。

如果基地址停止，加载程序将报告一个错误。

IMAGE_FILE_EXECUTABLE_IMAGE 0×0002The file is executable (there are no unresolved external references).文件正在被执行IMAGE_FILE_LINE_NUMS_STRIPPED 0×0004COFF line numbers were stripped from the file. COFF行号从文件删除。

IMAGE_FILE_LOCAL_SYMS_STRIPPED 0×0008COFF symbol table entries were stripped from file. COFF符号表表项是从文件中删除。

IMAGE_FILE_AGGRESIVE_WS_TRIM 0×0010Aggressively trim the working set. This value is obsolete as of Windows 2000.积极的修整工作组。

这个值是过时的Windows 2000。

IMAGE_FILE_LARGE_ADDRESS_AWARE 0×0020 The application can handle addresses larger than 2 GB. 应用程序可以处理超过2 GB 的地址IMAGE_FILE_BYTES_REVERSED_LO 0×0080The bytes of the word are reversed. This flag is obsolete.这个字的字节是反向的。

这个标志是过时的。

IMAGE_FILE_32BIT_MACHINE 0×0100 The computer supports 32-bit words. 计算机支持32位的字。

IMAGE_FILE_DEBUG_STRIPPED 0×0200Debugging information was removed and stored separately in another file. 调试信息被分别存储在另一个文件。

IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP0×0400If the image is on removable media, copy it toand runit from the swap file.如果图像是在可移动媒体，复制和运行它从交换文件。

IMAGE_FILE_NET_RUN_FROM_SWAP 0×0800If the image is on the network, copy it to and run it from the swap file.如果图像在网络上，将它复制并运行它从交换文件。

IMAGE_FILE_SYSTEM 0×1000 The image is a system file. 该图像是一个系统文件。

IMAGE_FILE_DLL 0×2000The image is a DLL file. While it is an executable file, it cannot be run directl 该图像是一个DLL 文件。

虽然这是一个可执行文件，它不能直接运行。

IMAGE_FILE_UP_SYSTEM_ONLY 0×4000The file should be run only on a uniprocessor computer. 文件应该只运行在计算机上。

IMAGE_FILE_BYTES_REVERSED_HI 0×8000The bytes of the word are reversed. This flag is obsolete.这个字的字节是反向的。

这个标志是过时的。

PE格式详细讲解3 -系统篇03咱接着往下讲解IMAGE_OPTIONAL_HEADER32 结构定义即各个属性的作用！接着我们来谈谈 IMAGE_OPTIONAL_HEADER 结构，正如名字的意思，这是一个可选映像头，是一个可选的结构。

但是呢，实际上上节课我们讲解的 IMAGE_FILE_HEADER 结构远远不足以来定义 PE 文件的属性。

因此，这些属性在 IMAGE_OPTIONAL_HEADER 结构中进行定义。

因此这两个结构联合起来，才是一个完整的“PE文件结构”。

那么我们接着就应该顺理成章地来谈谈 IMAGE_OPTIONAL_HEADER32 结构的定义：（啥？结构不会，先看看小甲鱼童鞋的《零基础入门学习C语言》关于结构方面的章节吧~）typedef struct _IMAGE_OPTIONAL_HEADER{//// Standard fields.//+18h WORD Magic;// 标志字, ROM 映像（0107h）,普通可执行文件（010Bh）+1Ah BYTE MajorLinkerVersion;// 链接程序的主版本号+1Bh BYTE MinorLinkerVersion;// 链接程序的次版本号+1Ch DWORD SizeOfCode;// 所有含代码的节的总大小+20h DWORD SizeOfInitializedData;// 所有含已初始化数据的节的总大小+24h DWORD SizeOfUninitializedData;// 所有含未初始化数据的节的大小+28h DWORD AddressOfEntryPoint;// 程序执行入口RVA+2Ch DWORD BaseOfCode;// 代码的区块的起始RVA +30h DWORD BaseOfData;// 数据的区块的起始RVA // NT additional fields. 以下是属于NT结构增加的领域：+34h DWORD ImageBase;// 程序的首选装载地址+38h DWORD SectionAlignment;// 内存中的区块的对齐大小+3Ch DWORD FileAlignment;// 文件中的区块的对齐大小+40h WORD MajorOperatingSystemVersion;// 要求操作系统最低版本号的主版本号+42h WORD MinorOperatingSystemVersion;// 要求操作系统最低版本号的副版本号+44h WORD MajorImageVersion;// 可运行于操作系统的主版本号+46h WORD MinorImageVersion;// 可运行于操作系统的次版本号+48h WORD MajorSubsystemVersion;// 要求最低子系统版本的主版本号+4Ah WORD MinorSubsystemVersion;// 要求最低子系统版本的次版本号+4Ch DWORD Win32VersionValue;// 莫须有字段，不被病毒利用的话一般为0+50h DWORD SizeOfImage;// 映像装入内存后的总尺寸+54h DWORD SizeOfHeaders;// 所有头 + 区块表的尺寸大小+58h DWORD CheckSum;// 映像的校检和+5Ch WORD Subsystem;// 可执行文件期望的子系统+5Eh WORD DllCharacteristics;// DllMain()函数何时被调用，默认为 0+60h DWORD SizeOfStackReserve;// 初始化时的栈大小+64h DWORD SizeOfStackCommit;// 初始化时实际提交的栈大小+68h DWORD SizeOfHeapReserve;// 初始化时保留的堆大小+6Ch DWORD SizeOfHeapCommit;// 初始化时实际提交的堆大小+70h DWORD LoaderFlags;// 与调试有关，默认为 0 +74h DWORD NumberOfRvaAndSizes;// 下边数据目录的项数，这个字段自Windows NT 发布以来一直是16+78h IMAGE_DATA_DIRECTORYDataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];// 数据目录表} IMAGE_OPTIONAL_HEADER32,*PIMAGE_OPTIONAL_HEADER32;事实上，这个结构中的大部分字段都不重要，大家可以从注释中理解它们的含义，小甲鱼将比较重要的字段在下边跟大家详细讲解。