pe结构.pdf 下载：https://download.csdn.net/download/uvarandmethod/10406805
重温PE结构：
1、DOS头 struct _IMAGE_DOS_HEADER { 0x00 WORD e_magic;//"MZ标记" 用于判断是否为可执行文件. 0x02 WORD e_cblp; 0x04 WORD e_cp; 0x06 WORD e_crlc; 0x08 WORD e_cparhdr; 0x0a WORD e_minalloc; 0x0c WORD e_maxalloc; 0x0e WORD e_ss; 0x10 WORD e_sp; 0x12 WORD e_csum; 0x14 WORD e_ip; 0x16 WORD e_cs; 0x18 WORD e_lfarlc; 0x1a WORD e_ovno; 0x1c WORD e_res[4]; 0x24 WORD e_oemid; 0x26 WORD e_oeminfo; 0x28 WORD e_res2[10]; 0x3c DWORD e_lfanew;//PE头相对于文件的偏移，用于定位PE文件 }; 2、NT nt头遍历 https://blog.csdn.net/uVarAndMethod/article/details/90575526 struct _IMAGE_NT_HEADERS { 0x00 DWORD Signature; //5045 pe标记 0x04 _IMAGE_FILE_HEADER FileHeader;//标准PE头 0x18 _IMAGE_OPTIONAL_HEADER OptionalHeader;//可选PE头 }; （1）、标准PE头 struct _IMAGE_FILE_HEADER { 0x00 WORD Machine; //程序运行的CPU型号：0x0 任何处理器/0x14C 386及后续处理器 0x02 WORD NumberOfSections;//文件中存在的节的总数,如果要新增节或者合并节 就要修改这个值 0x04 DWORD TimeDateStamp;//时间戳：文件的创建时间(和操作系统的创建时间无关)，编译器填写的 0x08 DWORD PointerToSymbolTable; 0x0c DWORD NumberOfSymbols; 0x10 WORD SizeOfOptionalHeader;//可选PE头的大小，32位PE文件默认E0h 64位PE文件默认为F0h 大小可以自定义. 0x12 WORD Characteristics;//每个位有不同的含义，可执行文件值为10F 即0 1 2 3 8位置1 }; （2）、 struct _IMAGE_OPTIONAL_HEADER { 0x00 WORD Magic; //说明文件类型：10B 32位下的PE文件 20B 64位下的PE文件 0x02 BYTE MajorLinkerVersion; 0x03 BYTE MinorLinkerVersion; 0x04 DWORD SizeOfCode; //所有代码节的和，必须是FileAlignment的整数倍 编译器填的 没用 0x08 DWORD SizeOfInitializedData;//已初始化数据大小的和,必须是FileAlignment的整数倍 编译器填的 没用 0x0c DWORD SizeOfUninitializedData;//未初始化数据大小的和,必须是FileAlignment的整数倍 编译器填的 没用 0x10 DWORD AddressOfEntryPoint;//程序入口 0x14 DWORD BaseOfCode;//代码开始的基址，编译器填的 没用 0x18 DWORD BaseOfData;//数据开始的基址，编译器填的 没用 0x1c DWORD ImageBase; //内存镜像基址 0x20 DWORD SectionAlignment;//内存对齐 0x24 DWORD FileAlignment;//文件对齐 0x28 WORD MajorOperatingSystemVersion; 0x2a WORD MinorOperatingSystemVersion; 0x2c WORD MajorImageVersion; 0x2e WORD MinorImageVersion; 0x30 WORD MajorSubsystemVersion; 0x32 WORD MinorSubsystemVersion; 0x34 DWORD Win32VersionValue; 0x38 DWORD SizeOfImage;//内存中整个PE文件的映射的尺寸，可以比实际的值大，但必须是SectionAlignment的整数倍 0x3c DWORD SizeOfHeaders;//所有头+节表按照文件对齐后的大小，否则加载会出错 0x40 DWORD CheckSum;//校验和，一些系统文件有要求.用来判断文件是否被修改. 0x44 WORD Subsystem; 0x46 WORD DllCharacteristics; 0x48 DWORD SizeOfStackReserve;//初始化时保留的堆栈大小 0x4c DWORD SizeOfStackCommit;//初始化时实际提交的大小 0x50 DWORD SizeOfHeapReserve;//初始化时保留的堆大小 0x54 DWORD SizeOfHeapCommit;//初始化时实践提交的大小 0x58 DWORD LoaderFlags; 0x5c DWORD NumberOfRvaAndSizes;//目录项数目 0x60 _IMAGE_DATA_DIRECTORY DataDirectory[16]; }; 3、节表 节的描述信息; IMAGE_SECTION_HEADER *pISH = (IMAGE_SECTION_HEADER *)((DWORD)pFileBuf + pIDH->e_lfanew + sizeof(IMAGE_NT_HEADERS)); typedef struct _IMAGE_SECTION_HEADER { 0x00 BYTE Name[IMAGE_SIZEOF_SHORT_NAME];//8个字节 一般情况下是以"\0"结尾的ASCII吗字符串来标识的名称，内容可以自定义.注意：该名称并不遵守必须以"\0"结尾的规律，如果不是以"\0"结尾，系统会截取8个字节的长度进行处理. union { 0x08 DWORD PhysicalAddress; 0x08 DWORD VirtualSize; } Misc;//双字 是该节在没有对齐前的真实尺寸,该值可以不准确。 0x0c DWORD VirtualAddress;//节区在内存中的偏移地址。加上ImageBase才是在内存中的真正地址. 0x10 DWORD SizeOfRawData; //节在文件中对齐后的尺寸. 0x14 DWORD PointerToRawData; //节区在文件中的偏移. 0x18 DWORD PointerToRelocations;//在obj文件中使用 对exe无意义 0x1c DWORD PointerToLinenumbers;//行号表的位置 调试的时候使用 0x20 WORD NumberOfRelocations;//在obj文件中使用 对exe无意义 0x22 WORD NumberOfLinenumbers;//行号表中行号的数量 调试的时候使用 0x24 DWORD Characteristics;//节的属性 };