PE结构是Windows系统下最常用的可执行文件格式，理解PE文件格式不仅可以理解操作系统的加载流程，还可以更好的理解操作系统对进程和内存相关的管理知识，DOS头是PE文件开头的一个固定长度的结构体，这个结构体的大小为64字节（0x40）。DOS头包含了很多有用的信息，该信息可以让Windows操作系统使用正确的方式加载可执行文件。从DOS文件头IMAGE_DOS_HEADER的e_lfanew字段向下偏移003CH的位置，就是真正的PE文件头的位置，该文件头是由IMAGE_NT_HEADERS结构定义的，IMAGE_NT_HEADERS是PE文件格式的一部分，它包含了PE头和可选头的信息，用于描述PE文件的结构和属性。
2.2 DOS文件头详细解析
DOS头是PE文件开头的一个固定长度的结构体，这个结构体的大小为64字节（0x40）。DOS头包含了很多有用的信息，该信息可以让Windows操作系统使用正确的方式加载可执行文件。一个DOS头通常会包含以下一些主要信息：
- Magic Number: 接下来
64字节的文件内容的开始是以MZ(Mark Zbikowski)2个字符（即0x4D, 0x5A）开头，被称为DOS签名。 - PE头偏移：DOS头中的
e_lfanew（这是一个类型为LONG的成员）指示了PE头的偏移量，即PE头的起始位置距离DOS头的偏移量，Windows操作系统根据DOS头的这个属性来定位PE头的位置。 - DOS头结束标识：保留用于以后增加的内容, 用于确认DOS头的结束，通常被赋值给字节0x0B。
如上图所示，图中的4D5A则表示这是一个PE文件，其下08010000则代表DOS头的最后一个数据集e_lfanew字段，该字段指向了PE头的开始50450000用于表示NT头的其实位置，而途中的英文单词则是一个历史遗留问题，在某些时候可通过删除此标识已让PE文件缩小空间占用，总的来说DOS头是PE文件中的一个重要的标志，它使得Windows操作系统能够在正确的位置开始加载可执行文件。由于DOS头中包含了PE头的偏移位置，Windows操作系统可以很容易地找到PE头，并通过PE头来加载程序并执行。
DOS头结构时PE文件中的重要组成部分，PE文件中的DOS部分由MZ格式的文件头和可执行代码部分组成，可执行代码被称为DOS块(DOS stub)，MZ格式的文件头由IMAGE_DOS_HEADER结构定义，在C语言头文件winnt.h中有对这个DOS结构详细定义,如下所示：
typedef struct _IMAGE_DOS_HEADER { WORD e_magic; // DOS的头部 WORD e_cblp; // Bytes on last page of file WORD e_cp; // Pages in file WORD e_crlc; // Relocations WORD e_cparhdr; // Size of header in paragraphs WORD e_minalloc; // Minimum extra paragraphs needed WORD e_maxalloc; // Maximum extra paragraphs needed WORD e_ss; // Initial (relative) SS value WORD e_sp; // Initial SP value WORD e_csum; // Checksum WORD e_ip; // Initial IP value WORD e_cs; // Initial (relative) CS value WORD e_lfarlc; // File address of relocation table WORD e_ovno; // Overlay number WORD e_res[4]; // Reserved words WORD e_oemid; // OEM identifier (for e_oeminfo) WORD e_oeminfo; // OEM information; e_oemid specific WORD e_res2[10]; // Reserved words LONG e_lfanew; // 指向了PE文件的开头(重要) } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;在DOS文件头中，第一个字段e_magic被定义为MZ，标志着DOS文件的开头部分，最后一个字段e_lfanew则指明了PE文件的开头位置，现在来说除了第一个字段和最后一个字段有些用处，其他字段几乎已经废弃，当读者通过调用OpenPeFile打开一个PE文件时，则下一步我们需要实现对PE文件有效性及位数的判断，并以此作为参考在后续的解析中使用不同的变量长度。
首先将镜像转换为PIMAGE_DOS_HEADER格式，并通过pDosHead->e_magic属性找到PIMAGE_NT_HEADERS结构，然后判断其是否符合PE文件规范，这里需要注意32位于64位PE结构所使用的的结构定义略有不同,代码中已经对其进行了区分。
BOOL IsPeFile(HANDLE ImageBase, BOOL Is64 = FALSE){ PIMAGE_DOS_HEADER pDosHead = NULL; if (ImageBase == NULL) return FALSE; // 将映射文件转为DOS结构,并判断开头是否为MZ pDosHead = (PIMAGE_DOS_HEADER)ImageBase; if (IMAGE_DOS_SIGNATURE != pDosHead->e_magic) return FALSE; if (Is64 == TRUE) { // 根据 IMAGE_DOS_HEADER 的 e_lfanew 的值得到 64位 NT 头的位置 PIMAGE_NT_HEADERS64 pNtHead64 = NULL; pNtHead64 = (PIMAGE_NT_HEADERS64)((DWORD64)pDosHead + pDosHead->e_lfanew); if (pNtHead64->Signature != IMAGE_NT_SIGNATURE) return FALSE; } else if (Is64 == FALSE) { // 根据 IMAGE_DOS_HEADER 的 e_lfanew 的值得到 32位 NT 头的位置 PIMAGE_NT_HEADERS pNtHead32 = NULL; pNtHead32 = (PIMAGE_NT_HEADERS)((DWORD)pDosHead + pDosHead->e_lfanew); if (pNtHead32->Signature != IMAGE_NT_SIGNATURE) return FALSE; } return TRUE;}int main(int argc, char * argv[]){ BOOL PE = IsPeFile(OpenPeFile("c://pe/x86.exe"), 0); if (PE == TRUE) { printf("程序是标准的PE文件 \n"); } else { printf("非标准程序 \n"); } system("pause"); return 0;}运行此段代码，则读者可以看到如下图所示的输出结果，程序会首先判断读入文件的pDosHead->e_magic是否为IMAGE_DOS_SIGNATURE用以验证是否为DOS头，接着通过IMAGE_DOS_HEADER的e_lfanew值得到NT头部位置，并以此进一步判断是否为PE文件；
接下来则是读入PE文件中DOS头的重点部分，读者通过DosHeader指针，即可依次遍历出IMAGE_DOS_HEADER结构中的所有参数信息，这段代码可以总结为如下案例；
int main(int argc, char * argv[]){ BOOL PE = IsPeFile(OpenPeFile("c://pe/x86.exe"), 0); if (PE == TRUE) { printf("\t\t\t 十六进制 \t 十进制 \n"); printf("DOS标志: %08X \t %08d \n", DosHeader->e_magic, DosHeader->e_magic); printf("文件最后一页的字节数: %08X \t %08d \n", DosHeader->e_cblp, DosHeader->e_cblp); printf("文件中的页面: %08X \t %08d \n", DosHeader->e_cp, DosHeader->e_cp); printf("重定位: %08X \t %08d \n", DosHeader->e_crlc, DosHeader->e_crlc); printf("段落中标题的大小: %08X \t %08d \n", DosHeader->e_cparhdr, DosHeader->e_cparhdr); printf("至少需要额外段落: %08X \t %08d \n", DosHeader->e_minalloc, DosHeader->e_minalloc); printf("所需的最大额外段落数: %08X \t %08d \n", DosHeader->e_maxalloc, DosHeader->e_maxalloc); printf("初始（相对）SS值: %08X \t %08d \n", DosHeader->e_ss, DosHeader->e_ss); printf("初始SP值: %08X \t %08d \n", DosHeader->e_sp, DosHeader->e_sp); printf("校验和: %08X \t %08d \n", DosHeader->e_csum, DosHeader->e_csum); printf("初始IP值: %08X \t %08d \n", DosHeader->e_ip, DosHeader->e_ip); printf("初始（相对）CS值: %08X \t %08d \n", DosHeader->e_cs, DosHeader->e_cs); printf("重新定位表的文件地址: %08X \t %08d \n", DosHeader->e_lfarlc, DosHeader->e_lfarlc); printf("叠加编号: %08X \t %08d \n", DosHeader->e_ovno, DosHeader->e_ovno); printf("保留字: %08X \t %08d \n", DosHeader->e_res, DosHeader->e_res); printf("OEM标识符 %08X \t %08d \n", DosHeader->e_oemid, DosHeader->e_oemid); printf("OEM信息 %08X \t %08d \n", DosHeader->e_res2, DosHeader->e_res2); printf("PE指针: %08X \t %08d \n", DosHeader->e_lfanew, DosHeader->e_lfanew); } else { printf("非标准程序 \n"); } system("pause"); return 0;}编译并运行上述代码片段，则读者可看到如下图所示的输出效果，此时DOS头部数据将被全部完整的输出；
2.3 PE文件头详细解析
从DOS文件头IMAGE_DOS_HEADER的e_lfanew字段向下偏移003CH的位置，就是真正的PE文件头的位置，该文件头是由IMAGE_NT_HEADERS结构定义的，IMAGE_NT_HEADERS是PE文件格式的一部分，它包含了PE头和可选头的信息，用于描述PE文件的结构和属性。
typedef struct _IMAGE_NT_HEADERS{ DWORD Signature; // PE文件标识字符 IMAGE_FILE_HEADER FileHeader; // 文件头 IMAGE_OPTIONAL_HEADER32 OptionalHeader; // 可选头} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;IMAGE_NT_HEADERS由IMAGE_NT_SIGNATURE（标识符）和IMAGE_FILE_HEADER（文件头）组成。其中，IMAGE_NT_SIGNATURE用于标识该文件是否为有效的PE文件，IMAGE_FILE_HEADER则用于描述可执行文件的基本结构信息，包括机器类型、段的数量、时间戳、符号表指针、符号表数量、可选头大小以及文件的各种标志和属性等。
如上_IMAGE_NT_HEADERS文件头的第一个DWORD是一个标志，默认情况下它被定义为00004550h也就是P,E两个字符另外加上两个零，而大部分的文件属性由标志后面的IMAGE_FILE_HEADER和IMAGE_OPTIONAL_HEADER32结构来定义。
2.3.1 IMAGE_FILE_HEADER
我们跟进IMAGE_FILE_HEADER这个结构，文件头结构体IMAGE_FILE_HEADER是IMAGE_NT_HEADERS结构体中的一个结构体，紧接在PE标识符的后面，IMAGE_FILE_HEADER结构体的大小为20字节，起始位置为0x000000CC结束位置在0x000000DF，这个IMAEG_FILE_HEADER结构体中包含了PE文件的大部分基础信息其结构的定义如下:
#define _IMAGE_FILE_HEADER 20typedef struct _IMAGE_FILE_HEADER{ WORD Machine; // 运行平台 WORD NumberOfSections; // 文件的节数目 DWORD TimeDateStamp; // 文件创建日期和时间 DWORD PointerToSymbolTable; // 指向符号表(用于调试) DWORD NumberOfSymbols; // 符号表中的符号数量 WORD SizeOfOptionalHeader; // IMAGE_OPTIONAL_HANDLER32结构的长度 WORD Characteristics; // 文件的属性 exe=010fh dll=210eh} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;2.3.2 IMAGE_OPTINAL_HEADER
此外IMAGE_NT_HEADERS还包含了IMAGE_OPTIONAL_HEADER可选头的信息，用于描述PE文件的高级结构信息，包括各种代码段、数据段、栈大小、堆大小、程序入口点、镜像基址等等。
我们继续跟进_IMAGE_NT_HEADERS结构体里面的第二个结构IMAGE_OPTINAL_HEADER，该头结构非常重要要，里面存储着程序的数据目录表，可选头紧挨着文件头，文件头的结束位置在0x000000DF，那么可选头的起始位置为0x000000E0，可选头的大小在文件头中已经给出，其大小为0x00E0字节，其结束位置为0x000000E0 + 0x00E0 – 1 = 0x000001BF，可选头非常容易辨别，只需要找到PE字眼就是了。
可选头是对文件头的一个扩展，文件头主要描述文件的相关信息，而可选头主要用来管理PE文件被操作系统装载时所需要的信息，该头是有32位版本与64位版本之分的，其实IMAGE_OPTIONAL_HEADER是一个宏，定义如下所示；
#define IMAGE_NT_OPTIONAL_HDR32_MAGIC 0x10b#define IMAGE_NT_OPTIONAL_HDR64_MAGIC 0x20b#define IMAGE_ROM_OPTIONAL_HDR_MAGIC 0x107#ifdef _WIN64typedef IMAGE_OPTIONAL_HEADER64 IMAGE_OPTIONAL_HEADER;typedef PIMAGE_OPTIONAL_HEADER64 PIMAGE_OPTIONAL_HEADER;#define IMAGE_NT_OPTIONAL_HDR_MAGIC IMAGE_NT_OPTIONAL_HDR64_MAGIC#elsetypedef IMAGE_OPTIONAL_HEADER32 IMAGE_OPTIONAL_HEADER;typedef PIMAGE_OPTIONAL_HEADER32 PIMAGE_OPTIONAL_HEADER;#define IMAGE_NT_OPTIONAL_HDR_MAGIC IMAGE_NT_OPTIONAL_HDR32_MAGIC#endif32位版本和64位版本的选择是根据是否定义了_WIN64而决定的，这里只讨论其32位的版本，IMAGE_OPTIONAL_HEADER32的定义如下所示；
typedef struct _IMAGE_OPTIONAL_HEADER{ WORD Magic; // 0x10b(可执行文件) 0x107(ROM文件) BYTE MajorLinkerVersion; // 主连接器版本号 BYTE MinorLinkerVersion; // 次连接器版本号 DWORD SizeOfCode; // 所有包含代码节的总大小 DWORD SizeOfInitializedData; // 所有已初始化数据的节总大小 DWORD SizeOfUninitializedData; // 所有未初始化数据的节总大小 DWORD AddressOfEntryPoint; // 程序执行入口RVA DWORD BaseOfCode; // 代码节的起始RVA DWORD BaseOfData; // 数据节的起始RVA DWORD ImageBase; // 程序镜像基地址 DWORD SectionAlignment; // 内存中节的对其粒度 DWORD FileAlignment; // 文件中节的对其粒度 WORD MajorOperatingSystemVersion; // 要求最低操作系统的主版本号 WORD MinorOperatingSystemVersion; // 要求最低操作系统的次版本号 WORD MajorImageVersion; // 可执行文件的主版本号 WORD MinorImageVersion; // 可执行文件的次版本号 WORD MajorSubsystemVersion; // 可运行于操作系统的最小子版本号 WORD MinorSubsystemVersion; DWORD Win32VersionValue; // 该成员变量是被保留的 DWORD SizeOfImage; // 内存中整个PE映像尺寸 DWORD SizeOfHeaders; // 所有头加节表的大小 DWORD CheckSum; // 校验和值 WORD Subsystem; // 可执行文件的子系统类型 WORD DllCharacteristics; // 指定DLL文件的属性,该值大部分时候为0 DWORD SizeOfStackReserve; // 初始化时堆栈大小 DWORD SizeOfStackCommit; // 为线程已提交的栈大小 DWORD SizeOfHeapReserve; // 为线程保留的堆大小 DWORD SizeOfHeapCommit; // 为线程已提交的堆大小 DWORD LoaderFlags; // 被废弃的成员值 DWORD NumberOfRvaAndSizes; // 数据目录的结构数量 IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;从上方结构体定义中可知，最后一个结构属性IMAGE_DATA_DIRECTORY其又指向了数据目录列表，该表由16个相同的IMAGE_DATA_DIRECTORY结构组成，这16个数据目录结构定义很简单，仅仅指出了某种数据的位置和长度，该结构的定义如下；
#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES 16typedef struct _IMAGE_DATA_DIRECTORY{ DWORD VirtualAddress; // 数据起始RVA DWORD Size; // 数据块的长度} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;有了上方的解析流程，读者应该能理解如何实现分析PE头了，首先读者找到DOS头，并从该头部找到NT头，当读者得到了NT头就可以根据NT头向下分别解析FileHeader及OptionalHeader中的参数，根据参数定义依次输出即可得到所有的NT头部数据，其完整代码如下所示；
int main(int argc, char * argv[]){ BOOL PE = IsPeFile(OpenPeFile("c://pe/x86.exe"), 0); if (PE == TRUE) { printf("\t\t\t 十六进制 \t 十进制 \n"); printf("NT标志: 0x%08X \t %08d \n", NtHeader->Signature, NtHeader->Signature); printf("运行平台: 0x%08X \t %08d \n", NtHeader->FileHeader.Machine, NtHeader->FileHeader.Machine); printf("区段数目： 0x%08X \t %08d \n", NtHeader->FileHeader.NumberOfSections, NtHeader->FileHeader.NumberOfSections); printf("时间日期标志： 0x%08X \t %08d \n", NtHeader->FileHeader.TimeDateStamp, NtHeader->FileHeader.TimeDateStamp); printf("特征值： 0x%08X \t %08d \n", NtHeader->FileHeader.Characteristics, NtHeader->FileHeader.Characteristics); printf("可选头部大小： 0x%08X \t %08d \n", NtHeader->FileHeader.SizeOfOptionalHeader, NtHeader->FileHeader.SizeOfOptionalHeader); printf("文件符号标志： 0x%08X \t %08d \n", NtHeader->FileHeader.NumberOfSymbols, NtHeader->FileHeader.NumberOfSymbols); printf("文件符号指针： 0x%08X \t %08d \n", NtHeader->FileHeader.PointerToSymbolTable, NtHeader->FileHeader.PointerToSymbolTable); printf("入口点： 0x%08X \t %08d \n", NtHeader->OptionalHeader.AddressOfEntryPoint, NtHeader->OptionalHeader.AddressOfEntryPoint); printf("镜像基址： 0x%08X \t %08d \n", NtHeader->OptionalHeader.ImageBase, NtHeader->OptionalHeader.ImageBase); printf("镜像大小： 0x%08X \t %08d \n", NtHeader->OptionalHeader.SizeOfImage, NtHeader->OptionalHeader.SizeOfImage); printf("代码基址： 0x%08X \t %08d \n", NtHeader->OptionalHeader.BaseOfCode, NtHeader->OptionalHeader.BaseOfCode); printf("内存对齐： 0x%08X \t %08d \n", NtHeader->OptionalHeader.SectionAlignment, NtHeader->OptionalHeader.SectionAlignment); printf("文件对齐： 0x%08X \t %08d \n", NtHeader->OptionalHeader.FileAlignment, NtHeader->OptionalHeader.FileAlignment); printf("子系统： 0x%08X \t %08d \n", NtHeader->OptionalHeader.Subsystem, NtHeader->OptionalHeader.Subsystem); printf("首部大小： 0x%08X \t %08d \n", NtHeader->OptionalHeader.SizeOfHeaders, NtHeader->OptionalHeader.SizeOfHeaders); printf("校验和： 0x%08X \t %08d \n", NtHeader->OptionalHeader.CheckSum, NtHeader->OptionalHeader.CheckSum); printf("RVA 数及大小： 0x%08X \t %08d \n", NtHeader->OptionalHeader.NumberOfRvaAndSizes, NtHeader->OptionalHeader.NumberOfRvaAndSizes); printf("主操作系统版本： 0x%08X \t %08d \n", NtHeader->OptionalHeader.MajorOperatingSystemVersion, NtHeader->OptionalHeader.MajorOperatingSystemVersion); printf("从操作系统版本： 0x%08X \t %08d \n", NtHeader->OptionalHeader.MinorOperatingSystemVersion, NtHeader->OptionalHeader.MinorOperatingSystemVersion); printf("主映像版本： 0x%08X \t %08d \n", NtHeader->OptionalHeader.MajorImageVersion, NtHeader->OptionalHeader.MajorImageVersion); printf("从映像版本： 0x%08X \t %08d \n", NtHeader->OptionalHeader.MinorImageVersion, NtHeader->OptionalHeader.MinorImageVersion); printf("主子系统版本： 0x%08X \t %08d \n", NtHeader->OptionalHeader.MajorSubsystemVersion, NtHeader->OptionalHeader.MajorSubsystemVersion); printf("从子系统版本： 0x%08X \t %08d \n", NtHeader->OptionalHeader.MinorSubsystemVersion, NtHeader->OptionalHeader.MinorSubsystemVersion); printf("Win32版本： 0x%08X \t %08d \n", NtHeader->OptionalHeader.Win32VersionValue, NtHeader->OptionalHeader.Win32VersionValue); printf("DLL标识： 0x%08X \t %08d \n", NtHeader->OptionalHeader.DllCharacteristics, NtHeader->OptionalHeader.DllCharacteristics); printf("SizeOfStackReserve： 0x%08X \t %08d \n", NtHeader->OptionalHeader.SizeOfStackReserve, NtHeader->OptionalHeader.SizeOfStackReserve); printf("SizeOfStackCommit： 0x%08X \t %08d \n", NtHeader->OptionalHeader.SizeOfStackCommit, NtHeader->OptionalHeader.SizeOfStackCommit); printf("SizeOfHeapReserve： 0x%08X \t %08d \n", NtHeader->OptionalHeader.SizeOfHeapReserve, NtHeader->OptionalHeader.SizeOfHeapReserve); printf("SizeOfHeapCommit： 0x%08X \t %08d \n", NtHeader->OptionalHeader.SizeOfHeapCommit, NtHeader->OptionalHeader.SizeOfHeapCommit); printf("LoaderFlags： 0x%08X \t %08d \n", NtHeader->OptionalHeader.LoaderFlags, NtHeader->OptionalHeader.LoaderFlags); } else { printf("非标准程序 \n"); } system("pause"); return 0;}当程序被运行后，则可输出NT头中针对FileHeader及OptionalHeader表中的所有内容，输出效果图如下图所示；
此外针对数据目录表的枚举，也将变得很容易实现，一般而言通过NtHeader->OptionalHeader.NumberOfRvaAndSizes读者可得到数据目录表的数量，当得到了数据目录表的数量后则可通过循环的方式依次输出DataDirectory[x]数组中每一个变量的参数信息，根据每次循环的不同则输出不同的参数；
// --------------------------------------------------// 临时将RVA转换为FOA的函数// --------------------------------------------------DWORD RVAtoFOA(DWORD rva){ auto SectionTables = IMAGE_FIRST_SECTION(NtHeader); // 获取区段表 WORD Count = NtHeader->FileHeader.NumberOfSections; // 获取区段数量 for (int i = 0; i = Section_Start && rva OptionalHeader.NumberOfRvaAndSizes; printf("编号 \t 目录RVA \t 目录FOA \t Size长度(十进制) \t Size长度(十六进制) \t 功能描述 \n"); for (int x = 0; x OptionalHeader.DataDirectory[x].VirtualAddress, RVAtoFOA(NtHeader->OptionalHeader.DataDirectory[x].VirtualAddress), NtHeader->OptionalHeader.DataDirectory[x].Size, NtHeader->OptionalHeader.DataDirectory[x].Size); switch (x) { case 0: printf("Export symbols \n"); break; case 1: printf("Import symbols \n"); break; case 2: printf("Resources \n"); break; case 3: printf("Exception \n"); break; case 4: printf("Security \n"); break; case 5: printf("Base relocation \n"); break; case 6: printf("Debug \n"); break; case 7: printf("Copyright string \n"); break; case 8: printf("Globalptr \n"); break; case 9: printf("Thread local storage (TLS) \n"); break; case 10: printf("Load configuration \n"); break; case 11: printf("Bound Import \n"); break; case 12: printf("Import Address Table \n"); break; case 13: printf("Delay Import \n"); break; case 14: printf("COM descriptor \n"); break; case 15: printf("NoUse \n"); break; default: printf("None \n"); break; } } } else { printf("非标准程序 \n"); } system("pause"); return 0;} 运行上述程序，则读者可看到如下图所示的输出信息，至此针对数据目录表的枚举也就实现了；
文章作者：lyshark (王瑞)
文章出处：https://www.cnblogs.com/LyShark/p/17677292.html
本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！