PE结构总览

pe文件经历了从16位系统到32位系统的过度。因此32系统下的每一个PE文件都可以在16位系统下运行。

16位系统下的PE结构

在16位系统下，PE结构可以大致分为两个部分：DOS头和一些其他数据



## DOS MZ 头(16位)

#

32位系统下，PE结构示意图

32位系统下的PE文件结构被划分为5个部分：** DOS MZ 头 、 DOS Stub 、 PE 头部、 节表、节内容 **
节表和节内容两部分都是PE数据区，DOS MZ头大小是64个字节，PE头的大小是456个字节（由于数据目录表项不一定是16个，所以准确地说，PE头也是一个不能确定大小的结构）节表的大小之所以不固定，是因为每个PE中节的数量是不固定的。每个节的描述信息则是个固定值，共40个字节，节表由不确定数量的节描述信息组成，其大小等于节的数量*40，节的数量由字段-IMAGE_FILE_HEADER_NumberOfSection来定义。
其中DOS Stub和节内容都是大小不确定的。
PE文件头部等于DOS头+PE头。
![](https://img2020.cnblogs.com/blog/2069956/202108/2069956-20210806093807716-1448109415.png)
![](https://img2020.cnblogs.com/blog/2069956/202108/2069956-20210806093821305-1872202657.png)

一个标准的PE文件一般由四大部分组成：

1.DOS头

2.PE头（IMAGE_NT_HEADERS）

3.节表（多个IMAGE_SECTION_HEADER结构）

4.4个字节的标识符号（Signature）

5.20个字节的基本头部信息（IMAGE_FILE_HEADER）

6.216个字节的扩张头信息（IMAGE_OPTION_HEADER32）

总结 头部+身体等于一个人

PE文件头部 = DOS头+PE文件头+节表

PE文件身体 = 节内容

DOS MZ 头的下面是DOS Stub.整个DOS Stub是一个字节快，其内容随着链接时使用的连接器不同而不同，PE中并没有与之对应的相关数据结构

PE头标识Signature

紧跟在DOS Stub后面的时PE头标识Signature.与大部分文件格式的头部yi'yang，PE头部信息中有一个四字节的标识，该标识位于指针

IMAGE_DOS_HEADER.e.lfanew 指向的位置，其内容固定，对应与ASCII码的字符串PE\0\0#

标准PE头IMAGE_FILE_HEADER

标准PE头IMAGE_FILE_HEADER紧跟在PE头标识后，即位于IMAGE_DOS_HEADER的e_lfanew值+4的位置。由此位置开始的20个字节为数据结构标准PE头IMAGE_FILE_HEADER的内容。该结构在微软的官方文档中被称为标准通用对象文件格式（Common Object File Format,COFF）头。它记录了PE文件的全部属性，如PE文件运行的平台、PE文件类型（EXE文件还是DLL文件）文件中存在的节的总数等。

扩展PE头IMAGE_OPTION_HEADER32

尽管从名字上看好像部分数据时可选的（optional）的，但在PE文件结构中，它却有着比标准PE头更多的内容，让人感觉似乎它才是真正的PE头，其详细定义如下：



文件执行时的入口地址，文件被操作系统装入内存后的默认地址，以及节在磁盘和内存中的对齐单位等信息均可在此结构中找到，。对该结构中的某些数值的随意改动可能会造成 PE文件的加载或运行失败。

PE头IMAGE_NT_HEADERS

这个结构是广义上的PE头，在标准的PE文件中其大小为456个字节即IMAGE_NT_HEADERS = 4个字节的PE标识+IMAGE_FILE_HEADER+IMAGE_OPTIONAL_HEADER32 如图所示

数据目录项IMAGE_DATA_DIRECTORY

IMAGE_OPTIONAL_HEADER32（扩张PE头）结构的最后一个字段DataDirectory。

该字段定义了PE文件中出现的所有不同类型的数据的目录信息。如导出表，导入表，资源表，重定位表等这些数据被操作系统以页为单位组织起来，并赋予不同的访问属性；在文件中，这些数据也同样组织起来，按照不同类别分别存放在文件的指定位置。

数据目录项IMAGE_DATA_DIRECTORY的数据结构来定义每种数据。该结构只有两个字段：

节表项IMAGE_SECTION_HEADER

PE头IMAGE_NT_HEADER后紧跟着节表。它有许多节表项（IMAGE_SECTION_HEADER）组成，每个节表项记录了PE中与某个特定的节有关信息。如节的属性、节的大小、在文件和内存中的起始位置等。节表中节的数量有字段IMAGE_FILE_HEADER_NumberOfSections来定义。

节表项的数据结构详细定义如下：



节表后面就是节的内容。截至节表,PE文件头部涉及的所有数据结构已经全部介绍完毕。