PE文件结构1

引言

PE文件格式是Windows操作系统下的可执行文件的格式，包括.exe文件和.dll文件，通过PE文件格式的学习，可以帮助我们更加熟悉有关Windows系统下的逆向分析和PC端病毒的学习，同时PE文件格式也是HOOK,加壳等知识的基础，在这里分享一下自己的有关PE文件格式学习的收获和如何编写一个PE文件解析器。

PE文件格式

PE文件由DOS头部，PE文件头，块表以及数据段，代码段等区块构成。



由于PE文件在磁盘和在内存当中的对齐值的不同，造成偏移量的不同，我们将其分为相对虚拟地址和文件偏移地址。现对这些名词进行一些解释。

1. 基地址（ImageBase）：映射文件的起始地址称为模块句柄，通过该句柄可访问其他数据结构。这个起始地址即为基地址。基地址的值由文件本身决定，默认EXE文件的基地址为400000h，DLL文件基地址为10000000h.但是这样显然会产生冲突，所以后续用基地址重定位解决这个问题。

2. 虚拟地址（VA）：载入内存后的地址。

3. 相对虚拟地址（RVA）：载入内存后相对基地址的偏移量。RVA=VA-ImageBase。

4. 文件偏移地址：在磁盘当中相对基地址的偏移量。

DOS首部

typedef struct  _IMAGE_DOS_HEADER{
uint16_t signature; // Magic number: 0x4D5A ("MZ" in ASCII)
uint16_t last_page_size; // Size of the last page in bytes
uint16_t num_pages; // Total number of pages in the file
uint16_t num_relocations; // Number of relocation entries
uint16_t header_size; // Size of the header in paragraphs
uint16_t min_alloc; // Minimum number of paragraphs to allocate
uint16_t max_alloc; // Maximum number of paragraphs to allocate
uint16_t init_ss; // Initial SS value (relative to the start of the executable)
uint16_t init_sp; // Initial SP value
uint16_t checksum; // Checksum of the executable
uint16_t init_ip; // Initial IP value
uint16_t init_cs; // Initial CS value (relative to the start of the executable)
uint16_t reloc_table_offset; // Relative offset of the relocation table
uint16_t overlay_number; // Overlay number
uint16_t reserved[4]; // Reserved fields
uint16_t oem_id; // OEM identifier (used by OEM-specific programs)
uint16_t oem_info; // OEM information
uint16_t reserved2[10]; // Reserved fields
uint32_t pe_header_offset; // Offset of the PE header from the start of the executable
} DOSHeader;

这里我们需要关注的地方有两个。

1. e_magic即signature:位于起始位置，大小为word，作为标识符，值为5A4Dh，ASCII表示为MZ。

2. e_lfanew:偏移量为3ch，大小为double word，用于表示PE文件头的偏移量。

PE文件首部

typedef struct _IMAGE_NT_HEADERS
{
DWORD Signature;
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER32 OptionalHeader;
}

typedef struct _IMAGE_FILE_HEADER {
    WORD  Machine;                   // 目标机器类型
    WORD  NumberOfSections;          // 节表中的节的数量
    DWORD TimeDateStamp;             // 文件创建时间戳
    DWORD PointerToSymbolTable;      // COFF符号表的文件偏移
    DWORD NumberOfSymbols;           // COFF符号表中符号的数量
    WORD  SizeOfOptionalHeader;      // 可选头的大小
    WORD  Characteristics;           // 文件属性标志
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

FILE_HEADERS当中需要关注的是NumnerOfSections表示节的数目，即区块表的数目。

这其中我们重点关注的是OptionalHeader

typedef struct _IMAGE_OPTIONAL_HEADER {
    // 标识PE文件的格式，可以是32位或64位
    WORD    Magic;
    BYTE    MajorLinkerVersion;
    BYTE    MinorLinkerVersion;
    DWORD   SizeOfCode;
    DWORD   SizeOfInitializedData;
    DWORD   SizeOfUninitializedData;
    DWORD   AddressOfEntryPoint;
    DWORD   BaseOfCode;
    DWORD   BaseOfData;  // 仅在32位PE文件中存在
    // ImageBase是PE文件在内存中的基地址
    ULONGLONG ImageBase;
    DWORD   SectionAlignment;
    DWORD   FileAlignment;
    WORD    MajorOperatingSystemVersion;
    WORD    MinorOperatingSystemVersion;
    WORD    MajorImageVersion;
    WORD    MinorImageVersion;
    WORD    MajorSubsystemVersion;
    WORD    MinorSubsystemVersion;
    DWORD   Win32VersionValue;
    DWORD   SizeOfImage;
    DWORD   SizeOfHeaders;
    DWORD   CheckSum;
    WORD    Subsystem;
    WORD    DllCharacteristics;
    ULONGLONG SizeOfStackReserve;
    ULONGLONG SizeOfStackCommit;
    ULONGLONG SizeOfHeapReserve;
    ULONGLONG SizeOfHeapCommit;
    DWORD   LoaderFlags;
    DWORD   NumberOfRvaAndSizes;
    // 数据目录表的数组，包含了PE文件中各个数据目录的位置和大小
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER, *PIMAGE_OPTIONAL_HEADER;

其中，IMAGE_DATA_DIRECTORY是另一个结构体，用于描述PE文件的数据目录。IMAGE_NUMBEROF_DIRECTORY_ENTRIES是一个常量，表示数据目录表的数量。

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;  // 数据目录在内存中的虚拟地址
    DWORD   Size;  // 数据目录的大小（字节）
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

很多我们需要去分析的参数都可以在这个这个里面去找相应的数据，同时数据目录表当中包含了导入表，导出表和资源表等内容，这是我们需要关注的重点。

区块表

每一个区块都有一个对应的区块表，区块的数目由FILE_HEADERS当中的NumberOfSections决定。

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];  // 区块名称
    union {
        DWORD   PhysicalAddress;  // 仅在OBJ文件中有效
        DWORD   VirtualSize;  // 区块在内存中的虚拟大小
    } Misc;
    DWORD   VirtualAddress;  // 区块在内存中的虚拟地址
    DWORD   SizeOfRawData;  // 区块在文件中的大小
    DWORD   PointerToRawData;  // 区块在文件中的偏移地址
    DWORD   PointerToRelocations;  // 重定位表的文件偏移地址
    DWORD   PointerToLinenumbers;  // 行号表的文件偏移地址
    WORD    NumberOfRelocations;  // 重定位表中的项数
    WORD    NumberOfLinenumbers;  // 行号表中的项数
    DWORD   Characteristics;  // 区块的属性
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

区块

区块的对齐值：

FileAlignment表示磁盘区块的对齐值

SectionAlignment表示内存当中区块的对齐值

文件偏移地址和虚拟偏移地址：文件偏移地址是在磁盘当中，虚拟偏移地址是在内存当中，由对齐值影响其大小。

导入表

导入表和导出表本质其实是一样的，但是导入表相对而言更加复杂，而且导出表只在.dll文件当中存在，所以在这里我们对导入表进行分析。

1. IMAGE_OPTIONAL_HEADERS当中存储导入表的RVA和SIZE

2. 在对应的RVA即IMPORT Directory Table处是每一个模块对应的一个结构体。

分别为Import Name Table RVA，Name RVA，Import Address Table RVA，Forwarder Chain和Time Date Stamp。

Name RVA可以确定依赖的模块名称



IAT和INT在载入之前都是指向函数名称但是在载入内存后，IAT将指向对应函数的地址。