PE文件头部开始位置为0B0H.PPTVIP

《计算机病毒分析与对抗》第三讲PE文件结构与计算机病毒 武汉大学计算机学院 彭国军 guojpeng@whu.edu.cn 引言 什么是PE文件？ 了解PE文件结构和了解PE病毒原理有什么联系？ 课前我们应该思考的问题 计算机病毒如何将自身代码写到PE可执行文件中并使得感染文件依然能够执行其功能？ PE程序如何从其他DLL引入API函数？ DLL文件如何使其他可执行文件知道自己实现的各API函数的代码位置？ 传统PE病毒是否可以直接调用API函数？为什么？如何获取API函数？ 本讲的内容提纲 3.1 PE文件格式总体结构 3.2 MS-DOS MZ文件头+DOS Stub 3.3 PE文件头 3.4 节表 3.5 节 3.1PE文件格式总体结构 hello-2.5.exe 3.2MS-DOS MZ文件头(0x40)+DOS Stub 3.2.1MS-DOS MZ header MS-DOS头部占据了PE文件的头64个字节（4*16=64） USHORT e_magic; // 魔数=MZ MZ文件格式创始人，微软资深工程师Mark Zbikowski的缩写 LONG e_lfanew; //e_lfanew成员用于定位PE头。 该字段位于3CH处，该位置给出了PE文件头部的开始位置。 在本例中，PE文件头部开始位置为0B0H。 3.2.1MS-DOS MZ head