PE-NT头

阿西吧

IMAGE_NT_HEADERS STRUCT
{
+0hDWORDSignature          //签名：（PE）
+4h  IMAGE_FILE_HEADER FileHeader         //文件头
+18hIMAGE_OPTIONAL_HEADER32OptionalHeader           //可选头
} IMAGE_NT_HEADERS ENDS

这一段红框中的就是NT头部分

文件头：
typedef         struct _IMAGE_FILE_HEADER
{
+04h        WORD                  Machine;                                      // 运行平台
+06h          WORD                  NumberOfSections;                        // 文件的区块数目
+08h        DWORD                 TimeDateStamp;                        // 文件创建日期和时间
+0Ch          DWORD                 PointerToSymbolTable;                // 指向符号表(主要用于调试)
+10h         DWORD                 NumberOfSymbols;                        // 符号表中符号个数(同上)
+14h          WORD                  SizeOfOptionalHeader;                // IMAGE_OPTIONAL_HEADER32 结构大小
+16h          WORD                  Characteristics;                                // 文件属性
} IMAGE_FILE_HEADER,  *PIMAGE_FILE_HEADER;

重要的有五个：
第一个是运行平台：一般Intel 386 x86的就是0X14C
第二个是节区数目：一定和实际的节区要相同，不然会运行错误
第三个是文件创建日期和时间：用C语言的ctime函数可以进行转换
第四个是可选头的大小：从IMAGE_OPTIONAL_HEADER的起始偏移加上SizeOfOptionalHeader才是真正的IMAGE_SECTION_HEADER
第五个是文件属性：用来标识文件是否可运行状态，是否为DLL等。（按位OR来组合）


typedef struct _IMAGE_OPTIONAL_HEADER
{
    //
    // Standard fields.  
    //
+18h    WORD    Magic;         // 标志字, ROM 映像（0107h）,普通可执行文件（010Bh）
+1Ah    BYTE      MajorLinkerVersion;     // 链接程序的主版本号
+1Bh    BYTE      MinorLinkerVersion;     // 链接程序的次版本号
+1Ch    DWORD   SizeOfCode;     // 所有含代码的节的总大小
+20h    DWORD   SizeOfInitializedData;    // 所有含已初始化数据的节的总大小
+24h    DWORD   SizeOfUninitializedData; // 所有含未初始化数据的节的大小
+28h    DWORD   AddressOfEntryPoint;    // 程序执行入口RVA
+2Ch    DWORD   BaseOfCode;      // 代码的区块的起始RVA
+30h    DWORD   BaseOfData;      // 数据的区块的起始RVA
    //
    // NT additional fields.    以下是属于NT结构增加的领域。
    //
+34h    DWORD   ImageBase;      // 程序的首选装载地址
+38h    DWORD   SectionAlignment;      // 内存中的区块的对齐大小
+3Ch    DWORD   FileAlignment;      // 文件中的区块的对齐大小
+40h    WORD    MajorOperatingSystemVersion;  // 要求操作系统最低版本号的主版本号
+42h    WORD    MinorOperatingSystemVersion;  // 要求操作系统最低版本号的副版本号
+44h    WORD    MajorImageVersion;       // 可运行于操作系统的主版本号
+46h    WORD    MinorImageVersion;       // 可运行于操作系统的次版本号
+48h    WORD    MajorSubsystemVersion;  // 要求最低子系统版本的主版本号
+4Ah    WORD    MinorSubsystemVersion;  // 要求最低子系统版本的次版本号
+4Ch    DWORD   Win32VersionValue;       // 莫须有字段，不被病毒利用的话一般为0
+50h    DWORD   SizeOfImage;       // 映像装入内存后的总尺寸
+54h    DWORD   SizeOfHeaders;       // 所有头 + 区块表的尺寸大小
+58h    DWORD   CheckSum;       // 映像的校检和
+5Ch    WORD    Subsystem;       // 可执行文件期望的子系统
+5Eh    WORD    DllCharacteristics;       // DllMain()函数何时被调用，默认为 0
+60h    DWORD   SizeOfStackReserve;       // 初始化时的栈大小
+64h    DWORD   SizeOfStackCommit;       // 初始化时实际提交的栈大小
+68h    DWORD   SizeOfHeapReserve;        // 初始化时保留的堆大小
+6Ch    DWORD   SizeOfHeapCommit;        // 初始化时实际提交的堆大小
+70h    DWORD   LoaderFlags;        // 与调试有关，默认为 0
+74h    DWORD   NumberOfRvaAndSizes;  // 下边数据目录的项数，这个字段自Windows NT 发布以来        // 一直是16
+78h    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
       // 数据目录表
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;



重要的有10个：
第一个Magic：当是IMAGE_OPTIONAL_HEADER32等于10B，当是IMAGE_OPTIONAL_HEADER64等于20B
第二个AddressOfEntryPoint：是程序载入内存后Entry Point的RVA值，内存中EP = ImageBase + AddressOfEntryPoint
第三个ImageBase：程序的首选装载地址，一般exe载入后EP都等于ImageBase + AddressOfEntryPoint，dll可能发生重定位，所以可能不是
第四个SectionAlignment：内存中区段的大小
第五个FileAlignment：磁盘中的文件区块对齐大小        （这两个的大小可能相同也可能不同，但是一般FileAlignment都是小于等于SectionAlignment）
第六个SizeOfImage：PE IMAGE装入内存中的大小
第七个SizeOfHeader：整个PE头的大小，是FileAlignment的整数倍，第一节区开始的位置 = SizeOfHeader
第八个Subsystem：区分驱动文件（*.sys）和（*.exe , *.dll）
第九个NumberOfRvaAndSize：指定数据目录表的成员数（小于等于16）
第十个DataDirectory：数据目录表（结尾是一个空的结构，接下来就是节区头）
DataDirectory：
0        IMAGE_DIRECTORY_ENTRY_EXPORT                导出表
1        IMAGE_DIRECTORY_ENTRY_IMPORT                导入表
2        IMAGE_DIRECTORY_ENTRY_RESOURCE                资源
3        IMAGE_DIRECTORY_ENTRY_EXCEPTION        异常（具体资料不详）
4        IMAGE_DIRECTORY_ENTRY_SECURITY                安全（具体资料不详）
5        IMAGE_DIRECTORY_ENTRY_BASERELOC        重定位表
6        IMAGE_DIRECTORY_ENTRY_DEBUG                调试信息
7        IMAGE_DIRECTORY_ENTRY_ARCHITECTURE        版权信息
8        IMAGE_DIRECTORY_ENTRY_GLOBALPTR        具体资料不详
9        IMAGE_DIRECTORY_ENTRY_TLS                        Thread Local Storage
10        IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG        具体资料不详
11        IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT具体资料不详
12        IMAGE_DIRECTORY_ENTRY_IAT                        导入函数地址表
13        IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT        具体资料不详
14        IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR具体资料不详
15        未使用                                                                就是空的那个