pe文件框架结构

翻译：Jason Sun（木水鱼）.

2004年5月10日

[译注：仅供大家学习使用,您在复制或使用此文档时请保留这个文件头]

Peering Inside the PE: A Tour of the Win32 Portable Executable File

Format

Matt Pietrek

1994 年3月

Matt Pietrek 是Windows Internals (Addison-Wesley, 1993)的作者。他就职于Nu-Mega 技术有限公司，可通过CompuServe: 71774,362联系到他。

这篇文章出自1994年3月发行的Microsoft系统期刊。版权所有﹫1994 Miller Freeman, Inc.保留所有权利。未经Miller Freeman同意，这篇文章的任何部分不得以任何形式被复制（除了在评论文章里以摘要引用）。

一个操作系统的可执行文件的格式在很多方面是这个操作系统的一面镜子。虽然学习一个可执行文件格式不是大多数程序员的首要任务，但是从中你可学到大量的知识。这篇文章中，

我将给出Microsoft为他们的基于Win32的系统所设计的PE文件格式的详细说明。可以预知在未来，PE文件格式在Microsoft的所有操作系统包括Windows 2000中都将扮演着很重要的角色。如果你在使用Win32s或WinNT，那么你已经在使用PE文件了。甚至你只是在Windows3.1下用Visual C++编程，你也已在使用PE文件了（Visual C++的32位DOS扩展组件使用此格式）。简而言之，PE格式已得到普遍应用并且在不短的将来也不会取消。现在是时间找出这种新的可执行文件格式为操作系统所带来的影响了。

我不会让你盯住无穷无尽的16进制Dumps和详细讨论页面中每个单独位的重要性。代替的，我将介绍PE文件格式中内含的概念并且把它们和你每天都会遇到的东西联系起来。例如，线程局部变量的概念，比如

实验二 PE文件结构分析

一. 实验目的

1．了解PE文件的输入表结构；

2．手工解析PE文件的输入表；

3．编程实现PE文件输入表的解析。

二. 实验内容

1. 第一步：手动解析输入表结构

(1)使用工具箱中的工具everything,寻找当前系统中任意一个exe文件，文件名称是： actmovie.exe

(2)使用LordPE“PE编辑器”打开exe文件，确定输入表的RVA，截图如下（图1）：

(3)点击PE编辑器右侧的“位置计算器”，得到文件偏移值，截图如下（图2）：

(4)使用16进制编辑工具，跳转到相应的输入文件偏移地址，输入表是每个IID对应一个DLL，根据IID大小，这里取20字节的数据进行分析，将输入表第一个IID结构的数据与IID结构体的成员一一对应，具体如下所示：

IMAGE_IMPORT_DESCRIPTOR {

OriginalFirstThunk = 000013C0

TimeDateStamp = FFFFFFFF

ForwarderChain = FFFFFFFF

Name = 000014C0

FirstThunk = 0000100C

}

(5)关注OriginalFirstThunk和Name两个成员，其中Name是一个RVA，用步骤(3)的方法得到其文件偏移值为 000008C0 ，在16进制编辑工具转到这个偏移地址，可见输入表的第一个DLL名为 msvcrt.dll ，截图如下（图3）：

(6)分析一下OriginalFirstThunk，它指向一个类型为IMAGE_THUNK_DATA的数组，上面已经分析出了它的值为 000013C0 ，这是一个RVA，用步骤(3)的方法得到文件偏移地址 00007C0 。在16进制编辑工具转到这个偏移地址，其中前面4个字节的数据为 63 5F 00 C8 ，截图如下（图4）：

浅析MSIL中间语⾔——PE⽂件结构篇

⼀、开篇

开篇我想讲⼀下于本⽂⽆关的话题，其实我很想美化⼀下⾃⼰博客园⼀直没时间弄，⽆意间找了博客园的博客园⾥⾯有⼀篇分享⾃⼰主题的⽂章，我就将这个模板暂时⽤作我的blog主题，我要讲述⼀个关于PE⽂件结构的⽂章，这篇⽂章动⼿能⼒⽐较强，希望⼤家能够动⼿进⾏操作，这边⽂章篇幅有可能会长⼀些，为了⽅便⼤家阅读我可以将其分为⼏个部分进⾏讲解，主要分为以下⼏个部分：

① PE⽂件头

② 导⼊表

③ 导出表

④ 资源表

下⾯我来讲解下为什么要学PE⽂件结构，因为了解PE⽂件结构就会了解到数据字典中第⼗五存放的就是元数据通过这个可以进⼀步研究元数据结构，⾄于.NET的 PE⽂件结构下⼀次进⾏分析

⼆、.NET的特殊之处

这⾥我们不讲普通程序的PE⽂件结构，我们只针对当前.NET程序进⾏分析，了解普通的PE⽂件结构后，我们会知道.NET的PE结构不同之处在于在PE头中的IMAGE_OPTIONAL_HEARDER这个结构中的数据⽬录DataDirectory这个包括了映像⽂件中的CLR头的RVA和⼤⼩。这就使我们能够很快的进⾏扩展.NET的PE

⽂件结构，下⾯我们就对⽂件进⾏分析，随便找⼀个.NET的程序，我这⾥有⼀个程序，我们⽤16进制编辑器打开，找到数据⽬录的第⼗五个，这个对应的2个字节的CLR头RVA和2个字节的⼤⼩。

现在我们来记录下这个记录： CLR头：RVA：0x2008 size：0x48

既然我们知道了CLR头的RVA和⼤⼩那么我们计算他在磁盘中的RVA也就是定位在磁盘中的位置，这⾥我们还需要其他⼏个区段的RVA和⽂件中的⼤⼩，这⾥我们就不在16进制编辑器中进⾏查找了我们直接打开，CFF Explorer将程序载⼊后我们查看区块表信息：

那么我们就开始进⾏定位，定位该区段在⽂件中的地址，这⾥我们来看这个CLR头的RVA落在了那个区段上，CLR的RVA为0x2008，我们⾸先看的是第⼀个区段.text，该区段装在在内存的地址是0x2000，⽽这个区段的⼤⼩事0x12A00，所以这个区段的范围是0x2000-0x14A00，刚好0x2008落在这个区段上，那么我们来算出他在⽂件中的偏移，2008-2000=8,200+8=208；也就是0x208的位置是CLR在⽂件的RVA。下⾯实例图将表述算出来的过程：

MZ,所有MS-DOS兼容的可执行文件都将这个值设为

PE文件头标志:"PE\0\0"

IMAGE_FILE_HEADER

从0x000000B4到

0x000000C7,大小

IMAGE_NT_HEADERS(PE Header),

从0x000000B0到0x000001A7,大小

=248字节

.rdata节表,从0x000001D0到

0x000001F7,大小为40字节OEP，32位的RVA.是入口点的偏移量。('AddressOfEntryPoint').执行从此开始。WORD e_magic LON

e_l

WORD Machine:表示该程序要执行的环境平台WOR

意思文件建立时间,DWORD TimeDateStamp;可以通过该值区分不同的文件版本。时间DWORD PointerToSymbolTable;

DOWRD NumberOfSymbols;

调试信息，总是0；

SizeOfOptionalHeader，16位，是IMAGE_OPTIONAL_HEADER的尺寸.可以用它确认PE文件结构的

Characteristics，16位值，包括一个标志集合，

多数只对目标文件和库有效。

Bit 0 (IMAGE_FILE_RELOCS_STRIPPED) 如

果文件内没有重定位信息该位置1。这里指的是

每个节内的重定位信息。不用于可执行文件，可

执行文件的重定位信息在后面提到的base

relocation目录。

Bit 1 (IMAGE_FILE_EXECUTABLE_IMAGE) 如

果文件是可执行的则置1，例如不是一个目标文

件或者库文件。如果连接器试图创建可执行文件，第1个16位字是

'Magic'，总是

2个字节是连接器的版本号'MajorLinkerVersion'和'MinorLinkerVersion'，这些值都不可靠，不能总是妥当件或者库文件。如果连接器试图创建可执行文件，

但由于某种原因失败了，也置1。

Bit 2 (IMAGE_FILE_LINE_NUMS_STRIPPED)