pe文件格式示意图及详解.pdf

PE文件格式示意图 PE 文件格式启发式学习 问：1.1 我知道程序中最重要的段是text段，请告诉我text 段在哪？ 答：1.1 text 段在文件偏移0x400处，大小0x200字节，该区可运行，可读取，包含代码。 该区在内存中RVA 0x1000处，大小0x1000. 问：1.2 我用urtraedit 打开hello.exe 看了，在0x400处-0x600处，大部分都是0，为什么这样呢。 答：1.2 pe 格式大部分文件都是这样，这是对齐所要求的，文件对齐为0x200, 内存对齐为0x1000 你可以在NT_Option_Header 的Section_Alignment, File_Alignment 域中看到这两个数据。 // // Optional header format. // typedef struct _IMAGE_OPTIONAL_HEADER { // // Standard fields. // WOR Magic; BYTE MajorLinkerVersion; BYTE MinorLinkerVersion; DWOR SizeOfCode; DWOR SizeOfInitializedData; DWOR SizeOfUninitializedData; DWOR AddressOfEntryPoint; DWOR BaseOfCode; DWOR BaseOfData; // // NT additional fields. // DWOR ImageBase; DWOR SectionAlignment; DWOR FileAlignment; WOR MajorOperatingSystemVersion; WOR MinorOperatingSystemVersion; 注：以上PE示意图以及文章均来自“看雪”，转载请注明来源（Inking26@） WOR MajorImageVersion; WOR MinorImageVersion; WOR MajorSubsystemVersion; WOR MinorSubsystemVersion; DWOR Win32VersionValue; DWOR SizeOfImage; DWOR SizeOfHeaders; DWOR CheckSum; WOR Subsystem; WOR DllCharacteristics; DWOR SizeOfStackReserve; DWOR SizeOfStackCommit; DWOR SizeOfHeapReserve; DWOR SizeOfHeapCommit; DWOR LoaderFlags;z DWOR NumberOfRvaAndSizes; IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]; } IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32; 问：1.3 慢点，别一下子贴那么多东西，我还没有找到 _IMAGE_OPTIONAL_HEADER 的位置呢， 告诉我怎样找 答：1.3 贴上那个_IMAGE_OPTIONAL_HEADER结构好说话，它的位置紧跟在 MAGE_FILE_HEADER 之后 告诉你个小技巧，那个Magic对NT x86来讲总是010B,在头文件找到那个010b,就是 IMAGE_OPTIONAL_HEADER32 结构的地址。 问：1.4 问题越来越多了。 _IMAGE_OPTIONAL_HEADER 还没有说清呢，又出来一个IMAGE_FILE_HEADER。先不管 IMAGE_FILE_HEADER 先按你的小技巧，在头部找到010b, 因为是little endi