Windows PE 文件头解析

0x01 PE文件基本介绍

PE文件的全称是Portable Executable，意为可移植的可执行的文件，常见的EXE、DLL、OCX、SYS、COM都是PE文件，PE文件是微软Windows操作系统上的程序文件（来自百度百科）。包括DOS头、PE头、节表、导入表和导出表。

本文主要介绍DOS头、NT头、标准PE头、可选PE头和节表。

在介绍前先了解几个概念：

虚拟地址（Virtual Address，VA）：在windows系统中，PE文件被系统加载器映射到内存中。每个程序都有自己的虚拟空间，这个虚拟空间的内存地址称为虚拟地址。

相对虚拟地址（Relative Virtual Address，RVA）：RVA是PE文件被装在到内存中，某个数据位置相对于装入地址的偏移量。假设一个程序从400000h处装入，代码开始与401000h，于是RVA = 401000h – 400000h，为1000h

虚拟地址（RV）= 基地址（ImageBase）+ 相对虚拟地址（RVA）

有关ImageBase的内容后面会介绍到。

下图为PE文件的基本结构：

0x02 DOS头

本文使用32位程序做演示。

DOS头（IMAGE_DOS_HEADER）的大小为40H（64字节）

DOS头的基本结构如下：

在DOS头中比较重要的两个参数：

e_magic：在DOS头开始的位置，大小为2字节，存储的内容一般为5A 4D，也就是’MZ’的十六进制，’MZ’是MS-DOS的创建者之一Mark Zbikowski名字的缩写，通常用来判断文件是否为可执行文件。

e_lfanew：在DOS头结束的位置，大小为4字节，是PE头相对于文件的偏移，用于定位PE文件头的位置。

可以通过e_lfanew中存储的数据找到PE文件头的位置，图中e_lfanew存储的内容为00 00 00 F0（小端存储），所以可以定位到PE文件头的位置在F0H。

在e_lfanew到PE文件头的这段空间，是由编译器生成，用来存储一些程序运行的信息，可以随意更改，对程序没有影响。

0x03 PE文件头

PE文件头是PE相关结构NT映像头的简称，其中包含许多PE装载器能用到的重要字段，在NT头中除了存放了4个字节的PE文件头标识以外还有标准PE头和可选PE头。

NT头（IMAGE_NT_HEADERS）的基本结构如下：

可以看到在NT头的开始处是一个32位的标志信息，PE\0\0，DOS头中的e_lfanew指向该位置

1、标准PE头

标准PE头（IMAGE_FILE_HEADER）的大小为12H（20字节）

标准PE头的基本结构如下：

在标准PE头中比较重要的几个参数：

Machine：存储了程序运行的cpu型号，2字节大小，一般0x14C遇见的比较多，这是在网上找到的winnt.h中各个值对应的信息。

NumberOfSections：存储了文件中节的总数，2字节大小，不同的可执行文件节的总数是不一样的，可以通过NumberOfSections得知当前文件节的总数，对节的内容进行遍历，如果要增加或者删除节，也是修改此参数。

TimeDateStamp：存储了文件创建的时间，4字节大小，是由编译器写入的。

SizeOfOptionalHeader：存储了可选PE头的大小，2字节大小，可选PE头的大小一般是不固定的，通常情况下32位程序为0xE0，64位程序为0xF0，此值可以自定义。

Characteristics：存放了文件属性，2字节大小，它的每一位的含义都不同，当前程序的值为0x0122，所以换算成二进制就是0000 0001 0010 0010，对应的属性如下图所示

标准PE头在程序中的位置：

2、可选PE头

在标准PE头后面就是可选PE头（IMAGE_OPTIONAL_HEADER），32位程序和64位程序可选PE头大小分别是0xE0和0xF0，在内容上也略有不同。

32位可选PE头的基本结构如下：

在32位程序中如下图所示：

IMAGE_OPTIONAL_HEADER64和IMAGE_OPTIONAL_HEADER32不同的是IMAGE_OPTIONAL_HEADER64没有BaseOfData参数，并且ImageBase、SizeOfStackReserve、SizeOfStackCommit、SizeOfHeapReserve、SizeOfHeapCommit的大小为ULONGLONG，也就是64位8个字节。

64位可选PE头的基本结构如下：

在64位程序中如下图所示：

在32位程序中可选PE头比较重要的参数有以下几个：

Magic：说明文件是ROM镜像（0107h），还是普通的可执行的镜像（010Bh），一般来说32位程序是010Bh，64位程序是020Bh。

SizeOfCode：存储了所有代码节的和，他必须是FileAlignment文件对齐的整数倍，此程序文件对齐的大小是200H，所以SizeOfCode的大小为1000H，为200H的整数倍，由编译器填写。

SizeOfInitializedData：存储已经初始化数据块的大小，即在编译的时候所构成的块的大小（不包括代码段），此值也为文件对齐的整数倍，由编译器填写。

SizeOfUninitializedData：未初始化数据块的大小，装载程序要在虚拟地址空间中为这些数据约定空间，一般存在.bss节中，为文件对齐的整数倍，由编译器填写。

AddressOfEntryPoint：可选PE头中最重要的一个参数，也就是我们通常说的OEP，是当前程序的入口位置，该地址是一个相对虚拟地址，指向了程序执行的第一条代码，如果程序被加壳，那么这个地址就会被修改，通常在使用OD进行动态调试的时候，OD首次停留的位置就是AddressOfEntryPoint。

BaseOfCode：代码开始的基址，在内存中，代码段通常在PE文件头之后，数据段开始之前，此值通常由编译器填写。

BaseOfData：数据开始的基址，数据段通常在内存的末尾，在64位程序中没有该参数，此值通常由编译器编写。

ImageBase：内存的镜像地址，也称基地址，是文件在内存中的首选装入地址，如果文件需要在内存中执行的话，会首先使用ImageBase中存放的地址，如果地址被占用，文件会被装入到其他地址中，因为直接装入这个地址不需要进行重定位，所以速度会很快，如果当前地址被占用就需要重定位后装入其他的地址，相对来说速度就会慢一些。

SectionAlignment：程序被装入内存后的对齐大小，通常为1000H。

FileAlignment：程序在没有被装入内存前文件对齐的大小，通常为200H或者1000H，在为1000H的时候文件对齐和内存对齐相同，会加快程序的运行速度。为200H时程序装载到内存中需要进行拉伸操作，把对齐大小拉伸到1000H，这样做相对来说速度会慢一些，但是在磁盘中存储会节省空间。

SizeOfImage：是程序在装入内存后的整个PE文件在内存中的映射尺寸，指的就是装入文件从ImageBase到最后一个块的大小，可以比实际的值大，但必须是SectionAlignment内存对齐的整数倍。

SizeOfHeaders：是DOS头，PE文件头和节表的总大小，该值必须是正确的，否则程序无法运行。

CheckSum：映像的校验和，可以用来检查文件是否被更改。

SizeOfStackReserve：初始化时保留的堆栈大小。

SizeOfStackCommit：初始化时实际提交的大小。

SizeOfHeapReserve：初始化时保留的堆的大小。

SizeOfHeapCommit：初始化时实际提交的大小。

NumberOfRvaAndSizes：数据目录的项数。

DataDirectory：数据目录表，由数个IMAGE_DATA_DIRECTORY结构组成，指向输出表、输入表、资源块等数据，如下图所示

0x04 节表

节表大小为24H（40字节）

节表不止一个，可能有多个，节表的数量存在标准PE头中的NumberOfSections属性，虽然节表有多个，但是每个节表中的结构是相同的。

节表的基本结构如下：

Name：存储节表的名字，一般情况下‘.’开始，”\0″来结束，内容可以自定义，所以并不能完全靠Name参数来判断节表中的内容。

VirtualSize：实际使用的节的大小，也就是对齐前的节的大小。如果VirtualSize的值大SizeOfRawData，那么SizeOfRawData表示来自可执行文件初始化数据的大小，与VirtualSize相差的字节用0填充。

VirtualAddress：存储节区在内存中的偏移地址，需要加上ImageBase才是真实的地址。

SizeOfRawData：节在文件中的尺寸，也就是该节在磁盘中所占用的空间。

PointerToRawData：节区在文件中的偏移。

Characteristics：节的属性，通过属性表里的值相加得到。

本例中节的属性值为60 00 00 20H，也就是包含可执行代码+该块可执行+该块可读。

节表在程序中如下图所示：

0x05 简单的32位PE头解析器编写