小甲鱼pe结构详解课件.docVIP

小甲鱼 PE 详解之 IMAGE_DOS_HEADER 结构定义即各个属性的 作用 小甲鱼在这里为大家做好了详细的注释，免得大家一头雾水，另外可 以结合小甲鱼《加密系列》-系统篇-PE 结构详解视频教程学习~若有 纰漏之处还望大家不吝指正。 （视频教程：/a/shipin/jiemixilie/） （注：最左边是文件头的偏移量。） IMAGE_DOS_HEADER STRUCT { +0h WORD e_magic // Magic DOS signature MZ(4Dh 5Ah) DOS 可执行文件标 记 +2h WORD e_cblp // Bytes on last page of file +4h WORD e_cp // Pages in file +6h WORD e_crlc // Relocations +8h WORD e_cparhdr // Size of header in paragraphs +0ah WORD e_minalloc // Minimun extra paragraphs needs +0ch WORD e_maxalloc // Maximun extra paragraphs needs +0eh WORD e_ss // intial(relative)SS value DOS 代码的初始化堆栈 SS +10h WORD e_sp // intial SP value DOS 代码的初始化堆栈指针 SP +12h WORD e_csum // Checksum +14h WORD e_ip // intial IP value DOS 代码的初始化指令入口[指针 IP] +16h WORD e_cs // intial(relative)CS value DOS 代码的初始堆栈入口 +18h WORD e_lfarlc // File Address of relocation table +1ah WORD e_ovno // Overlay number +1ch WORD e_res[4] // Reserved words +24h WORD e_oemid // OEM identifier(for e_oeminfo) +26h WORD e_oeminfo // OEM information;e_oemid specific +29h WORD e_res2[10] // Reserved words +3ch DWORD e_lfanew // Offset to start of PE header 指向 PE 文件头 } IMAGE_DOS_HEADER ENDS 小甲鱼 PE 详解之 IMAGE_NT_HEADERS 结构定义即各个属性的作用 PE Header 是 PE 相关结构 NT 映像头（IMAGE_NT_HEADER）的简称， 里边包含着许多 PE 装载器用到的重要字段。下边小甲鱼将为大家详细讲解哈~ （视频教程：/a/shipin/jiemixilie/） 首先是 IMAGE_NT_HEADERS 结构的定义：（啥？结构不会，先看看小甲 鱼童鞋的《零基础入门学习 C 语言》关于结构方面的章节吧~） IMAGE_NT_HEADERS STRUCT { +0h DWORD Signature // +4h IMAGE_FILE_HEADER FileHeader // +18h IMAGE_OPTIONAL_HEADER32 OptionalHeader // } IMAGE_NT_HEADERS ENDS Signature 字段： 在一个有效的 PE 文件里，Signature 字段被设置, ASCII 码字符是 “PE00”。标志这 PE 文件头的开始。 “PE00” 字符串是 PE 文件头的开始，DOS 头部的 e_lfanew 字段正是指向这 里。 如下图所示： IMAGE_FILE_HEADER 结构 typedef struct _IMAGE_FILE_HEADER { +04h WORD Machine; // 运行平 台 +06h WORD NumberOfSections; // 文件的区块数目 +08h DWORD TimeDateStamp; // 文件创建日期和时间 +0Ch DWORD PointerToSymbolTable; // 指向符号表(主要用于调 试) +10h DWORD NumberOfSymbols; // 符号表中符号个数(同上) +14h WORD SizeOfOptionalHeader; // IMAGE_OPTIONAL_HEADER32 结构大小 +16h WORD