PE文件详解-DOS头NT头

博主： irohane
发布时间：2020 年 12 月 19 日
5660 次浏览
7 条评论
4625字数
分类： PE结构

``PE 文件是一种格式 ：DOS头 PE头 区块 这些组成了PE文件``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118102138628.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)
传送门:[C++代码解析DOS头和NT头](https://blog.csdn.net/qq_40591440/article/details/109990083)

# 什么是PE文件

指某 ``一种格式的文件``，可执行文件 exe  动态链接库(dll)驱动文件(sys) 都是PE文件格式

# DOS头

``在DOS头中 有用的只有 e_mageic来比对此文件是否位 PE文件 而 e_lfanew用来指向NT头的偏移``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118102416239.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)

## 在使用 010Edit 查看PE文件

``4D 5A 是在文件的存储方式 ，而在内存中存储的方式小端 为 5A 4D 对应ASCII码 Z M，而 00 01 00 00 对应结构体里的 e_lfnew ，指向的是 NT头的文件偏移 ``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118103141494.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)
``然后做一个小实验，除了标识和e_lfnew全部归0``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118103929436.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)
``发现还是可以运行的``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118104132707.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)
``继续把标志也给擦除``
![在这里插入图片描述](https://img-blog.csdnimg.cn/2020111810433188.png#pic_center)
==这时候图标就变了，文件闪退，（太快了没办法截图 大家可以自己试一下）==
``所以Windows，分别是否是可执行程序，就是读取了PE结构的信息。一些图片隐写，就是利用了字段的无用或者是文件对齐的填充在其中覆盖自己的数据，达到了不影响文件大小的前提下 对文件修改``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118104423430.png#pic_center)

# NT 头

==NT 头存储着PE头的全部属性==
``在有些时候 可以利用DOS头距离NT头的空间（因为这些数据存在的意义不大），可以将NT头重叠到DOS块中``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118105215760.png#pic_center)
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118105420730.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)

### Signature 标识

和DOS中的e_magic 一样 判断是否是PE文件
如上图  50 45  对应 ASCII 中 的PE

### FileHeader 文件头

==一共20个字节==
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118105736151.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)
按照C++中的可以对应
word = 2字节  DWORD = 4字节
``文件头没有什么说的，这里有个SizeOfOptionalHeader 变量指的是OPTIONAL_HANDLE头的大小``
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118105620352.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)

### 扩展头

![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118110626658.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)

``敲黑板：扩展存储着非常有用的信息 可以在里面找到非常有用的信息``
==数据目录表在下面==
![在这里插入图片描述](https://img-blog.csdnimg.cn/20201118110416761.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTkxNDQw,size_16,color_FFFFFF,t_70#pic_center)
``imageBase默认的加载地址（默认400000地址上！但是每个程序都会争抢这个地址所以会发生重定位，很大概率会加载到别的地址上）``

``导入表：记录了一个exe或者一个dll所用到的其他模块导出的函数``

``资源表：Windows程序的各种界面称为资源，包括加速键，位图，光标，对话框，图标，菜单，串表，工具栏和版本信息等。``
资源对于可执行文件而言是一个非常重要的存在，例如一个窗口，一个菜单都是一项资源信息,在PE文件的所有结构中。

``重定位表``
生成程序的时候,很多涉及到地址的代码,都使用一个绝对的虚拟内存地址(这个虚拟内存地址是假设程序加载到0x400000的地方时才能够使用的),但是当程序的加载基址产生变化的时候,加载基址和默认的加载基址就不一样了,那些涉及到地址的代码就不能运行了,此时就需要将那些涉及到地址的代码,把他们的操作数修改(去掉默认加载基址,再加上新的加载基址)才能够使程序运行起来。而重定位表就是记录了重定位之后的信息

``暂时介绍这么几个表后续会更新``

最后修改：2021 年 01 月 21 日

如果觉得我的文章对你有用，请随意赞赏

7 条评论

iyaxpwexsx
October 6th, 2024 at 08:01 pm

看的我热血沸腾啊www.jiwenlaw.com

回复
lrrjomxped
October 1st, 2024 at 09:36 pm

不错不错，我喜欢看 https://www.237fa.com/

回复
qbkmqyqubu
September 23rd, 2024 at 09:55 am

不错不错，我喜欢看

回复
unlqkcplhx
September 23rd, 2024 at 09:10 am

看的我热血沸腾啊https://www.jiwenlaw.com/

回复
看透一切的大黄
May 25th, 2023 at 06:51 pm

回复
白白
January 30th, 2021 at 03:46 pm

0.0

回复
irohane
December 19th, 2020 at 01:43 pm

|´・ω・)ノ

回复