1、DOS头
// DOS MZ头，大小为64个字节
typedef struct _IMAGE_DOS_HEADER {
WORD e_magic; // EXE标志，“MZ”(有用，解析时作为是否是PE文件的第一个标志)
WORD e_cblp; // Bytes on last page of file
WORD e_cp; // Pages in file
WORD e_crlc; // Relocations
WORD e_cparhdr; // Size of header in paragraphs
WORD e_minalloc; // Minimum extra paragraphs needed
WORD e_maxalloc; // Maximum extra paragraphs needed
WORD e_ss; // Initial (relative) SS value
WORD e_sp; // Initial SP value
WORD e_csum; // Checksum
WORD e_ip; // Initial IP value
WORD e_cs; // Initial (relative) CS value
WORD e_lfarlc; // File address of relocation table
WORD e_ovno; // Overlay number
WORD e_res[]; // Reserved words
WORD e_oemid; // OEM identifier (for e_oeminfo)
WORD e_oeminfo; // OEM information; e_oemid specific
WORD e_res2[]; // Reserved words
LONG e_lfanew; // 非常重要，操作系统通过它找到NT头，NT头相对于文件的偏移地址
} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;
DOS MZ头下面是DOS Stub,整个Dos Stub是一个字节快，其内容随着链接时使用的链接器不同而不同，而且长度不固定。
2、NT头
// NT 头
typedef struct _IMAGE_NT_HEADERS {
DWORD Signature;
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
（1）紧跟在DOS Stub后面的是PE头标识（DWORD） Signature, 占四个字节，内容固定为“PE\0\0“。
（2）标准PE头、文件头、COFF头，占20个字节
3、文件头
typedef struct _IMAGE_FILE_HEADER {
WORD Machine; // 运行平台
WORD NumberOfSections; // PE中节的数量
DWORD TimeDateStamp; // 文件创建日期和时间
DWORD PointerToSymbolTable; // 指向符号表（用于调试）
DWORD NumberOfSymbols; // 符号表中的符号数量（用于调试）
WORD SizeOfOptionalHeader; // 扩展头结构的长度
WORD Characteristics; // PE文件属性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;4、扩展PE头
// 32位程序当中扩展头的大小为224个字节
typedef struct _IMAGE_OPTIONAL_HEADER {
WORD Magic; // （有用）魔术字 107h = ROM Image, 10Bh = exe Image
BYTE MajorLinkerVersion; // 链接器版本号
BYTE MinorLinkerVersion;
DWORD SizeOfCode; // （有用）所有含代码的节的总大小
DWORD SizeOfInitializedData; // （有用）所有含已初始化数据的节的总大小
DWORD SizeOfUninitializedData;// （有用）所有含未初始化数据的节的大小
DWORD AddressOfEntryPoint; // （重要）程序执行入口RVA
DWORD BaseOfCode; // （有用）代码的节的起始RVA
DWORD BaseOfData; // （有用）数据的节的起始RVA
DWORD ImageBase; // （重要）程序的建议装载基址（如果没有加载到这个地址，会发生重定位）
DWORD SectionAlignment; // （重要）内存中的节的对齐粒度，一般是0x1000
DWORD FileAlignment; // （重要）文件中的节的对齐粒度，一般是0x200
WORD MajorOperatingSystemVersion; // 操作系统版本号
WORD MinorOperatingSystemVersion;
WORD MajorImageVersion; // 该PE的版本号
WORD MinorImageVersion;
WORD MajorSubsystemVersion; // 所需子系统版本号
WORD MinorSubsystemVersion;
DWORD Win32VersionValue; // 未用
DWORD SizeOfImage; // （重要）把文件加载进内存，所需要的内存大小，注意是进行了块对齐之后
DWORD SizeOfHeaders; // （重要）所有头 + 节表的大小
DWORD CheckSum; // 校验和
WORD Subsystem; // （有用）文件的子系统
WORD DllCharacteristics; // （有用）指示DLL特征的标志
DWORD SizeOfStackReserve; // （有用）初始化时的栈大小
DWORD SizeOfStackCommit; // （有用）初始化时实际提交的栈大小
DWORD SizeOfHeapReserve // （有用）初始化时保留的堆大小
DWORD SizeOfHeapCommit; // （有用）初始化时实际提交的堆大小
DWORD LoaderFlags; // 与调试有关
DWORD NumberOfRvaAndSizes; // （有用）下面的数据目录结构的项目数量
IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]; // （非常重要）数据目录表
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;
5、数据目录表
// 数据目录项
typedef struct _IMAGE_DATA_DIRECTORY {
DWORD VirtualAddress; // 数据的起始RVA
DWORD Size; // 数据块的长度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
struct IMAGE_DATA_DIRECTORY_ARRAY DataDirArray
[]struct IMAGE_DATA_DIRECTORY Export // 导出表
[]struct IMAGE_DATA_DIRECTORY Import // 导入表
[]struct IMAGE_DATA_DIRECTORY Resource // 资源表
[]struct IMAGE_DATA_DIRECTORY Exception // 异常表
[]struct IMAGE_DATA_DIRECTORY Security // 安全表
[]struct IMAGE_DATA_DIRECTORY BaseRelocationTable // 重定位表
[]struct IMAGE_DATA_DIRECTORY DebugDirectory // 调试信息
[]struct IMAGE_DATA_DIRECTORY CopyrightOrArchitectureSpecificData // 版权信息
[]struct IMAGE_DATA_DIRECTORY GlobalPtr // 全局PTR
[]struct IMAGE_DATA_DIRECTORY TLSDirectory // 线程本地存储
[]struct IMAGE_DATA_DIRECTORY LoadConfigurationDirectory // 配置加载表
[]struct IMAGE_DATA_DIRECTORY BoundImportDirectory // 绑定导入表
[]struct IMAGE_DATA_DIRECTORY ImportAddressTable // 导入函数地址表
[]struct IMAGE_DATA_DIRECTORY DelayLoadImportDescriptors // 延迟加载表
[]struct IMAGE_DATA_DIRECTORY COMRuntimedescriptor // CLR头
[]struct IMAGE_DATA_DIRECTORY Reserved // 预留
6、区段头表
// 节表项
typedef struct _IMAGE_SECTION_HEADER {
BYTE Name[IMAGE_SIZEOF_SHORT_NAME]; // 8个字节的节名
union {
DWORD PhysicalAddress;
DWORD VirtualSize; // 该节在没有对齐前的真实尺寸，该节可以不准确
} Misc;
DWORD VirtualAddress; // 节区的RVA地址
DWORD SizeOfRawData; // 在文件中对齐后的尺寸
DWORD PointerToRawData; // 在文件中的偏移
DWORD PointerToRelocations; // 在OBJ文件中使用
DWORD PointerToLinenumbers; // 行号表的位置（供调试使用）
WORD NumberOfRelocations; // 在OBJ文件中使用
WORD NumberOfLinenumbers; // 行号表中行号的数量
DWORD Characteristics; // 节的属性
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
7、RVA 转 FOA
// RVA 转 FOA
DWORD rva2foa(IMAGE_NT_HEADERS* pNt, DWORD dwRva)
{
IMAGE_SECTION_HEADER* pScnHdr = (IMAGE_SECTION_HEADER*)
IMAGE_FIRST_SECTION(pNt);
for (DWORD i = ; i < pNt->FileHeader.NumberOfSections; i++)
{
if (dwRva >= pScnHdr[i].VirtualAddress &&
dwRva <= pScnHdr[i].VirtualAddress + pScnHdr[i].SizeOfRawData)
{
return dwRva - pScnHdr[i].VirtualAddress + pScnHdr[i].PointerToRawData;
}
}
return -;
}