PE檔案頭結構

2021-07-22 18:37:30 字數 4233 閱讀 8494

typedef


struct _image_file_header image_file_header, *pimage_file_header;
1.machine 每個cpu都有唯一的machine碼，用來指定檔案的執行平台

#define image_file_machine_unknown           0  


#define image_file_machine_i386 0x014c // intel 386. 


#define image_file_machine_r3000 0x0162 // mips little-endian, 0x160 big-endian 


#define image_file_machine_r4000 0x0166 // mips little-endian 


#define image_file_machine_r10000 0x0168 // mips little-endian 


#define image_file_machine_wcemipsv2 0x0169 // mips little-endian wce v2 


#define image_file_machine_alpha 0x0184 // alpha_axp 


#define image_file_machine_sh3 0x01a2 // sh3 little-endian 


#define image_file_machine_sh3dsp 0x01a3 


#define image_file_machine_sh3e 0x01a4 // sh3e little-endian 


#define image_file_machine_sh4 0x01a6 // sh4 little-endian 


#define image_file_machine_sh5 0x01a8 // sh5 


#define image_file_machine_arm 0x01c0 // arm little-endian 


#define image_file_machine_thumb 0x01c2 


#define image_file_machine_am33 0x01d3 


#define image_file_machine_powerpc 0x01f0 // ibm powerpc little-endian 


#define image_file_machine_powerpcfp 0x01f1 


#define image_file_machine_ia64 0x0200 // intel 64 


#define image_file_machine_mips16 0x0266 // mips 


#define image_file_machine_alpha64 0x0284 // alpha64 


#define image_file_machine_mipsfpu 0x0366 // mips 


#define image_file_machine_mipsfpu16 0x0466 // mips 


#define image_file_machine_axp64 image_file_machine_alpha64 


#define image_file_machine_tricore 0x0520 // infineon 


#define image_file_machine_cef 0x0cef 


#define image_file_machine_ebc 0x0ebc // efi byte code 


#define image_file_machine_amd64 0x8664 // amd64 (k8) 


#define image_file_machine_m32r 0x9041 // m32r little-endian 


#define image_file_machine_cee 0xc0ee
2.numberofsections 節區的數量 當定義的節區與實際節區不同時，將發生執行錯誤。

3.timedatestamp 編譯器建立此檔案的時間，它的數值是從2023年12月31日下午4：00開始到建立時間為止的總秒數

4. sizeofoptionalheader 可選頭的長度 32位是 e0h 64位是f0h

5. 屬性標誌字段，不同資料位定義了不同的檔案屬性，不同的定義將影響系統對檔案的裝入方式，可以是下面這些值按位相或。

#define image_file_relocs_stripped           0x0001  // relocation info stripped from file. 檔案中不存在重定位資訊


#define image_file_executable_image 0x0002 // file is executable (i.e. no unresolved externel references). 檔案是可執行的 


#define image_file_line_nums_stripped 0x0004 // line nunbers stripped from file. 不存在行資訊


#define image_file_local_syms_stripped 0x0008 // local symbols stripped from file. 不存在符號資訊


#define image_file_aggresive_ws_trim 0x0010 // agressively trim working set 調整工作集


#define image_file_bytes_reversed_lo 0x0080 // bytes of machine word are reversed. 小尾方式


#define image_file_32bit_machine 0x0100 // 32 bit word machine. 只在32位平台上執行


#define image_file_debug_stripped 0x0200 // debugging info stripped from file in .dbg file 不包含除錯資訊


#define image_file_removable_run_from_swap 0x0400 // if image is on removable media, copy and run from the swap file. 不能從可移動盤執行


#define image_file_net_run_from_swap 0x0800 // if image is on net, copy and run from the swap file. 不能從網路執行


#define image_file_system 0x1000 // system file. 系統檔案（如驅動程式），不能直接執行 


#define image_file_dll 0x2000 // file is a dll. 這是乙個dll檔案


#define image_file_up_system_only 0x4000 // file should only be run on a up machine 檔案不能在多處理器上計算機執行


#define image_file_bytes_reversed_hi 0x8000 // bytes of machine word are reversed. 大尾方式
可執行檔案包含0002 dll檔案包含2000h

普通可執行pe檔案 一般是010fh，dll檔案210eh

PE檔案頭入門

首先需要知道dos頭，其其資料結構不太需要知道，但需要知道其中的兩個和偏移 e magic word 0000h exe標誌，mz 頭 e lfanew dword 003ch pe 頭的偏移位址 整個資料結構大小為40h 這裡我們隨便找乙個.exe程式為例 找到了e flanew後就可以去找pe頭...

PE檔案詳解之PE檔案頭

1,pe檔案頭 pe header 緊挨著 dos stub 2,pe header 是pe相關結構nt映像頭 image nt header 的簡稱。裡面包含著許多pe裝載器用到的重要字段。3，執行體在支援pe檔案結構的作業系統中執行時，pe裝載器將從 image dos header 結構中的 ...

PE檔案詳解之PE檔案頭

1,pe檔案頭 pe header 緊挨著 dos stub 2,pe header 是pe相關結構nt映像頭 image nt header 的簡稱。裡面包含著許多pe裝載器用到的重要字段。3，執行體在支援pe檔案結構的作業系統中執行時，pe裝載器將從 image dos header 結構中的 ...