PE 文件结构详解
前言
浅浅研究了一下 PE 的结构。
另外可以参考ELF 文件结构
PE 简介
PE 文件的全称是 Portable Executable ，意为可移植的可执行的文件，常见的 EXE、DLL、OCX、SYS、COM 都是 PE 文件，PE 文件是微软 Windows 操作系统上的程序文件（可能是间接被执行，如 DLL ）。
PE 结构概述
PE 文件大致可以分为两部分，即数据管理结构及数据部分。
数据管理结构包含：DOS 头、PE 头、节表。
数据部分包括：节表数据（节表数据是包含着代码、数据等内容）。
下面是 PE 的结构：
数据管理结构
01 DOS 头
所有的 PE 文件都是以一个 64 字节的 DOS 程序开始。当 PE 文件在 DOS 下执行时，DOS 可以识别出这是一个有效的执行体，然后运行 DOS Stub 。这个 DOS 头只是为了兼容早期的 DOS 操作系统。不需要详细了解。
DOS HEADER 和 DOS Stub 合称为 DOS 文件头。
PE 文件前 0x40 个字节是一个传统的 DOS 头，结构为 IMAGE_DOS_HEADER 。如果在 DOS 中执行文件，则会调用存根程序（DOS Stub）。 它通常显示合适的消息；但是，任何有效的 DOS 应用程序都可以是存根程序。
winn.h 中定义:
#define IMAGE_DOS_SIGNATURE 0x5A4D // MZ
typedef struct _IMAGE_DOS_HEADER { // DOS .EXE header
WORD e_magic; // Magic number
WORD e_cblp; // Bytes on last page of file
WORD e_cp; // Pages in file
WORD e_crlc; // Relocations
WORD e_cparhdr; // Size of header in paragraphs
WORD e_minalloc; // Minimum extra paragraphs needed
WORD e_maxalloc; // Maximum extra paragraphs needed
WORD e_ss; // Initial (relative) SS value
WORD e_sp; // Initial SP value
WORD e_csum; // Checksum
WORD e_ip; // Initial IP value
WORD e_cs; // Initial (relative) CS value
WORD e_lfarlc; // File address of relocation table
WORD e_ovno; // Overlay number
WORD e_res[4]; // Reserved words
WORD e_oemid; // OEM identifier (for e_oeminfo)
WORD e_oeminfo; // OEM information; e_oemid specific
WORD e_res2[10]; // Reserved words
LONG e_lfanew; // File address of new exe header
} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;
重要字段:
e_magic -> DOS 头的标识，为
0x4D和0x5A。分别为字母MZ。e_lfanew -> 一个双字数据，为 exe 头的文件地址。 Windows 加载器通过它可以跳过 DOS Stub 部分直接找到 PE 头。
DOS 头后跟一个 DOS Stub 数据，是链接器链接执行文件的时候加入的部分数据，一般是“This program cannot be run in DOS mode.”。这个可以通过修改链接器的设置来修改成自己定义的数据。
02 PE 头（NT 头）结构
PE 头分为三个部分，分别是 PE 标识（IMAGE_NT_SIGNATRUE）、映像文件头（IMAGE_FILE_HEADER）、可选映像头（IMAHE_OPTION_HEADER）。PE 头是固定不变的，位于 DOS 头部中 e_ifanew 字段指出位置。
//x86
typedef struct _IMAGE_NT_HEADERS {
DWORD Signature;
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
//x64
typedef struct _IMAGE_NT_HEADERS {
DWORD Signature;
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER64 OptionalHeader;
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;
其中，Signature 为 0x00004550 ，即字符串 "PE\0\0"
接下来是 映像文件头（FileHeader）：
typedef struct _IMAGE_FILE_HEADER {
WORD Machine; // 运行平台，cpu类型
WORD NumberOfSections; // 文件的区块数（SectionTable 项的数量）
DWORD TimeDateStamp; // 时间戳，文件创建日期与时间
DWORD PointerToSymbolTable; // 指向符号表（用于调试）
DWORD NumberOfSymbols; // 符号表中符号的个数（用于调试）
WORD SizeOfOptionalHeader; // IMAGE_OPTIONAL_HEADER 结构大小
WORD Characteristics; // 文件属性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;
重要字段：
NumberOfSections：定义 PE 文件 Section 的个数。如果对 PE 文件新增或删除 Section 的话，一定要记得修改此域。
SizeOfOptionalHeader：定义 OptionHeader 结构的大小。
Characteristics：主要用来标识当前的 PE 文件是执行文件还是 DLL 。其各位都有具体的含义。
其中 Characteristics 字段：
接着是 可选映像头（OptionalHeader）
//x86
typedef struct _IMAGE_OPTIONAL_HEADER {
//
// Standard fields.
//
WORD Magic; //标志字
BYTE MajorLinkerVersion; //链接器主版本号
BYTE MinorLinkerVersion; //链接器次版本号
DWORD SizeOfCode; //所有含有代码的区块大小*
DWORD SizeOfInitializedData; //所有初始化数据区块的大小
DWORD SizeOfUninitializedData;//所有未初始化数据区块的大小
DWORD AddressOfEntryPoint; //程序执行入口 RVA*
DWORD BaseOfCode; //代码区块起始 RVA*
DWORD BaseOfData; //数据区块起始 RVA
//
// NT additional fields.
//
DWORD ImageBase; //程序默认载入基址*
DWORD SectionAlignment; //内存中区块的对齐值*
DWORD FileAlignment; //文件中区块的对齐值*
WORD MajorOperatingSystemVersion; //操作系统主版本号
WORD MinorOperatingSystemVersion; //操作系统次版本号
WORD MajorImageVersion; //用户自定义主版本号
WORD MinorImageVersion; //用户自定义次版本号
WORD MajorSubsystemVersion; //所需子系统主版本号
WORD MinorSubsystemVersion; //所需子系统次版本号
DWORD Win32VersionValue; //保留，通常被设置为 0
DWORD SizeOfImage; //映像载入内存后的总尺寸*
DWORD SizeOfHeaders; //DOS 头、PE 文件头、区块表总大小*
DWORD CheckSum; //映像校验和
WORD Subsystem; //文件子系统
WORD DllCharacteristics; //显示 DLL 特性的旗标
DWORD SizeOfStackReserve; //初始化时栈的大小*
DWORD SizeOfStackCommit; //初始化时实际提交栈的大小*
DWORD SizeOfHeapReserve; //初始化时保留堆的大小*
DWORD SizeOfHeapCommit; //初始化时实际保留堆的大小*
DWORD LoaderFlags; //与调试相关，默认值为0
DWORD NumberOfRvaAndSizes; //数据目录表的项数*
IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;
//x64
typedef struct _IMAGE_OPTIONAL_HEADER64 {
//
// Standard fields.
//
WORD Magic;
BYTE MajorLinkerVersion;
BYTE MinorLinkerVersion;
DWORD SizeOfCode;
DWORD SizeOfInitializedData;
DWORD SizeOfUninitializedData;
DWORD AddressOfEntryPoint;
DWORD BaseOfCode;
//
// NT additional fields.
//
ULONGLONG ImageBase;
DWORD SectionAlignment;
DWORD FileAlignment;
WORD MajorOperatingSystemVersion;
WORD MinorOperatingSystemVersion;
WORD MajorImageVersion;
WORD MinorImageVersion;
WORD MajorSubsystemVersion;
WORD MinorSubsystemVersion;
DWORD Win32VersionValue;
DWORD SizeOfImage;
DWORD SizeOfHeaders;
DWORD CheckSum;
WORD Subsystem;
WORD DllCharacteristics;
ULONGLONG SizeOfStackReserve;
ULONGLONG SizeOfStackCommit;
ULONGLONG SizeOfHeapReserve;
ULONGLONG SizeOfHeapCommit;
DWORD LoaderFlags;
DWORD NumberOfRvaAndSizes;
IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER64, *PIMAGE_OPTIONAL_HEADER64;
对比 winnt.h 中定义的 32 位 PE 文件头与 64 位 PE 文件头，可以发现两者的区别在 IMAGE_OPTIONAL_HEADER ，其中有 6 处不同（以 64 位 PE 文件头说明）：
移除了
DWORD BaseOfData字段以下 5 个字段类型由
DWORD更改为了ULONGLONG
ULONGLONG ImageBase;
ULONGLONG SizeOfStackReserve;
ULONGLONG SizeOfStackCommit;
ULONGLONG SizeOfHeapReserve;
ULONGLONG SizeOfHeapCommit;
重要字段：
SizeOfCode：有 IMAGE_SCN_NT_CODE 属性的区块的总大小，该字段与 .text 块的大小匹配
AddressOfEntryPoint：程序执行入口 RVA
注：RVA 相对虚拟偏移
对于 DLL ，这个入口点在进程初始化和关闭时及线程创建和结束时被调用。在大多数可执行文件中，这个地址不直接指向 Main、WinMain 或 DllMain 函数，而指向运行时的库代码（ntdll_RtlUserThreadStart）并由它来调用上述函数。在 DLL 中，链接器的 /NOENTRY 开关可以设置这个域为 0 。
BaseOfCode：代码段的起始 RVA 。代码段通常位于PE文件头之后,数据块之前
ImageBase：
文件在内存中的首选载入地址。如果有可能（也就是说，如果目前没有其他文件占据这块地址，它就是正确对齐的并且是一个合法的地址），加载器会试图在这个地址载入 PE 文件。
如果 PE 文件是在这个地址载入的，那么加载器将跳过应用基址重定位的步骤。如果该地址被占用，加载器会选用其它地址作为载入地址，然后执行应用基址重定位的步骤
SectionAlignment：载入内存时的区块对齐大小 / 内存中区块的对齐大小。最小对齐尺寸为每页
0x1000 (4kb)。FileAlignment：磁盘上 PE 文件的区块对齐大小。该值为 2 的幂，且最小值为
0x200(512b)。SizeOfImage：映像载入内存后的总尺寸。
SizeOfHeaders：DOS 头、PE 文件头、区块表的总尺寸
SizeOfStackReserve：在 EXE 文件里为线程保留的栈的大小
SizeOfStackCommit：在 EXE 文件里，一开始即被委派给栈的内存，默认值为
0x1000(4kb)SizeOfHeapReserve：在 EXE 文件里，为进程默认堆保留的内存，默认值为
0x100000(1MB)SizeOfHeapCommit：在 EXE 文件里，委派给堆的内存，默认值
0x1000(4kb)CheckSum：映像的校验和。IMACEHLP.DLL 中的
CheckSumMappedFile函数可以计算该值。一般的 EXE 文件该值可以是 0 ，但一些内核模式的驱动程序和系统 DLL 必须有一个校验和。当链接器的/RELEASE开关被使用时，校验和被置于文件中。
最后 128 个字节为数据目录（Data Directory）。它由 16 个IMAGE_DATA_DIRECTORY 结构组成的数组构成，指向输出表、输入表、资源块、重定位等数据目录项的 RVA（相对虚拟地址）和大小。
typedef struct _IMAGE_DATA_DIRECTORY {
DWORD VirtualAddress; //数据块的起始 RVA
DWORD Size; //数据块的长度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
数据目录项是可选的，并不是所有的数据目录项都会有值。数据目录项包括：输入表、输出表、资源、例外、安全、重定位、调试、版权、全局指针、Tls 表、载入配制、输入范围、IAT、延迟输入、COM、保留 共十六个项。
03 节表（区块表）
在 PE 文件头与原始数据之间存在一个区块表（Section Table），它是一个 IMAGE_SECTION_HEADER 结构数组，区块表包含每个块在映像中的信息（如位置、长度、属性），分别指向不同的区块实体。
typedef struct _IMAGE_SECTION_HEADER {
Name //8 个字节的块名
union
{
DWORD PhysicalAddress;
DWORD VirtualSize;
} Misc; //区块尺寸
DWORD VirtualAddress //区块的 RVA 地址
DWORD SizeOfRawData; //在文件中对齐后的尺寸
DWORD PointerToRawData; //在文件中偏移
DWORD PointerToRelocations; //在 OBJ 文件中使用，重定位的偏移
DWORD PointerToLinenumbers; //行号表的偏移（供调试使用地）
WORD NumberOfRelocations; //在 OBJ 文件中使用，重定位项数目
WORD NumberOfLinenumbers; //行号表中行号的数目
DWORD Characteristics; //区块属性，如可读，可写，可执行等
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
一个 PE 文件至少需要两个 Section ，一个是存放代码，一个存放数据。NT 上的 PE 文件基本上有 9 个预定义的 Section 。分别是：.text ，.bss ，.rdata ，.data ，.rsrc ，.edata ，.idata ，.pdata 和 .debug 。一些 PE 文件中只需要其中的一部分区块。
重要字段：
Name：块名，这是一个 8 位 ASCII 码名，用来定义块名。多数块名以一个 “.” 开始（如 .text），尽管许多 PE 文档都认为这个 “.” 实际上并不是必须的。值得注意的是，如果块名超过 8 位，则最后的 NULL 不存在。带有一个 “$” 的区块名字会从链接器那里得到特殊的对待，前面带 “$” 的相同名字的区块被合并，在合并后的区块中它们是按 “$” 后面的字符字母顺序进行合并的。
可以通过声明，将数据插入自定义的区块，而不是默认的区块。
链接器的工作是合并所有 OBJ 和库中所有的块，使其最终成为一个合适的区块。OBJ 文件中还可以存在一个放置链接信息的区块，链接完即删除掉。
区块合并没有什么硬性规定，把 .rdata 合并到 .text 不会有什么问题。但不应将 .rsrc 、.reloc 或 .pdata 合并到其他区块里。
常见区块与区块合并：
Misc.VirtualSize：指出实际的、被使用的区块大小。如果 VirtualSize 大于 SizeOfRawData ，那么 SizeOfRawData（来自于可执行文件初始化数据的大小）与 VirtualSize 相差的字节用
0填充。这个字段在 OBJ 文件中设为0。VirtualAddress：该块装载到内存中的 RVA 。这个地址是按照内存页对齐的，它的数值总是 SectionAlignment 的整数倍。在 MS 工具中，第一块的默认 RVA 为
0x1000。在 OBJ 中，该字段没意义。如果该值为0x1000，PE 文件被加载到0x400000，那么该 Section 的起始地址为0x401000。SizeOfRawData：该块在磁盘文件中所占的大小。在可执行文件中，这个值必须是 PE 头部指定的文件对齐大小的倍数。如果是
0，则说明区块中的数据是未初始化的。该块在磁盘文件中所占的大小，这个数值等于 VirtualSize 字段的值按照 FileAlignment 的值对齐以后的大小。例如，FileAlignment的大小为0x1000，如果 VirtualSize 中的块长度为0x2911，则 SizeOfRawData 为0x3000。PointerToRawData：该块在磁盘文件中的偏移。对于可执行文件，这个值必须是 PE 头部指定的文件对齐大小的倍数。
PointerToRelocations：这部分在 EXE 文件中无意义。在 OBJ 文件中，表示本块重定位信息的偏移量。在 OBJ 文件中如果不是零，则会指向一个 IMAGE_RELOCATION 的数据结构。
NumberOfRelocations：由 PointerToRelocations 指向的重定位的数目。
NumberOfLinenumbers：由 NumberOfRelocations 指向的行号的数目，只在 COFF 样式的行号被指定时使用。
Characteristics：块属性，该字段是一组指出块属性（如代码/数据/可读/可写等）的标志。多个标志值通过 OR 操作形成 Characteristics 的值。这些标志很多都可以通过链接器
/SECTION选项设置。
PE 文件常见的区块：
注 1：.pdata 帮助在运行时进行堆栈遍历。此结构有助于调试和异常处理。
注 2：这些区块并不是都是必须的，当然，也可以根据需要定义更多的区块（比如一些加壳程序）。
数据部分——区块（节）
累了，不研究了。就到这里吧。
参考资料：
PE Format https://learn.microsoft.com/en-us/windows/win32/debug/pe-format
PE结构详解（加壳脱壳必备知识） https://blog.csdn.net/a59a59/article/details/103214936
PE文件结构详解精华 https://blog.csdn.net/weixin_43655282/article/details/104291312
PDATA Structures (Windows CE 5.0) https://learn.microsoft.com/en-us/previous-versions/windows/embedded/aa448751(v=msdn.10)
加密与解密 - 11.2 MS-DOS头 https://blog.csdn.net/qq726232111/article/details/112568763
加密与解密 - 11.3 PE文件头 https://blog.csdn.net/qq726232111/article/details/112605738
第11章：PE 文件格式（补充） https://www.cnblogs.com/Rev-omi/p/14118993.html
PE知识复习之PE的RVA与FOA的转换 https://www.lmlphp.com/user/56/article/item/87/
- 感谢你赐予我前进的力量
-
微信 
支付宝
