当前位置：文档之家 › 可执行文件格式

可执行文件格式

  • 格式：doc
  • 大小：87.50 KB
  • 文档页数：32

可执行文件格式1、裸机中的可执行文件没有文件头部，是纯代码文件。

因为没有操作系统，不能依靠加载器构建可执行程序的映像。

故一般裸机中的执行文件都没有文件格式。

2、标准的Dos可执行文件包括批处理文件、Dos下的可加载驱动程序(.SYS)文件以及普通的.COM、.EXE可执行文件。

批处理文件，是以.BAT结尾的文件，在.BAT文件中可以包括一些DOS命令，以及在批处理文件中调用其它的可执行文件。

批处理文件还有一些简单的流程控制功能，可以实现循环、条件判断等简单的编程工作。

设备驱动文件，是以.sYS结尾的文件，如config.SYs和IO.sys等，是Dos操作系统使用的设备驱动程序。

COM文件，是以.COM结尾的纯代码文件。

没有文件头部分，默认情况下总是从0xl00H处开始执行，没有重定位项，这也限制了它所有代码和数据必须控制在64KB以内。

EXE文件，是以.EXE结尾的文件，这种文件以英文字母"MZ"开头，通常称之为MZ文件。

MZ文件有一个文件头，用来指出每个段的定义，以及重定位表。

.EXE文件摆脱了代码大小最多不能超过64KB的限制，是DOS下，最主要的文件格式。

MZ文件的格式：MZ文件由三部分构成：文件头、重定位表和二进制代码。

Mz文件头包含Ms-Dos用于加载程序的信息，例如程序的大小和寄存器的初始值。

文件头还指向一个重定位表，该表包含指向程序映像中可重定位段的指针链表。

文件头的格式用EXEHHEADER结构定义如下(注释符号后面的十六进制表示相应字段的偏移)EXEHEADER STRUC exsi，ature dw?；00H，文件类型标记：ox4DSA(ASCll字符Mz)exExraBytes dw?；oZH，文件最后一页的字节数(51ZB一页)exPages dw?；04H，文件的总页数exRefocltems dw?；06H，重定位项的个数exHeadersize dw?；0SH，以字节为单位的文件头大小exMIILAlfoo dw?；0AH，根据代码大小分配的最小内存exMaxAlloc dw?；OCH，根据代码大小分配的最大段(Para歹aph)数exlnitSS dw?；0EH，初始55值，相对于入口点exlnitSP dw?；1OH，初始SP值exChechsum dw?；12H，校验和或者零exlnitIP dw?；14H，初始IP值exlnitCS dw?；16H，初始CS值，相对入口点exRelocTable dw?；lSH，重定位表的偏移地址exoverlay dw?；IAH，连接程序产生的覆盖号EXEHEADER ENDS下面简单介绍DOS下.EXE文件的加载过程。

MZ文件包含一个文件头和一个可重新定位程序映像(载入模块)。

文件头包含MS一DOS用于加载程序的信息，例如程序的大小和寄存器的初始值。

程序映像包含处理器代码和程序的初始数据，它紧接在文件头之后，它的大小等于MZ文件大小减去文件头的大小。

MS一DOS通过把该映像直接从文件复制到内存加载EXE程序，然后调整定位表中说明的可重定位段的地址。

重定位表示一个重定位指针数组，每个指针指向程序影响中的可重定位段地址。

文件头中的偏移06H处说明了数组中指针的个数。

偏移18H处指向重定位表的指针链表。

每个重定位指针由两个16位值(即偏移量和段地址)组成。

3、诚ndows下的可执行文件格式NE格式：Windows3.0/3.1版本中，微软推出了一种新的可执行文件格式，在MZ文件头之后又有一个以"NE"开始的文件头，称之为NE(NewExecutable)文件。

由于Windows的可执行文件同DOS相比增加了很多内容，如资源、动态库等，NE格式表现极为复杂，NE格式文件在装载程序读取磁盘上的文件后，需要在内存中组装成一个完全不同的数据结构才开始运行。

PE格式：在Windows32位平台微软又推出了一种新的可执行文件格式-可移植的可执行文件(PortableExecutable File)格式。

即PE格式。

它同NE格式不同的是在MZ文件头之后是一个以"PE"开始的文件头。

PE文件格式是从COFF(UNIX中广泛使用的通用二进制文件格式)的对象格式发展而来，它比NE格式前进了一大步，其文件在磁盘中的格式同内存中的格式区别不大，装载程序实现起来相当简单。

PE文件格式被组织为一个线性的数据流，它由一个MS一DOS头部开始，接着是一个是模式的程序残余以及一个PE文件标志，这之后紧接着PE文件头和可选头部。

这些之后是所有的段头部，段头部之后跟随着所有的段实体。

文件的结束处是一些其它的区域，其中是一些混杂的信息，包括重分配信息、符号表信息、行号信息以及字串表数据。

PE文件格式详解：Windows NT 3.1引入了一种名为PE文件格式的新可执行文件格式。

PE 文件格式的规范包含在了MSDN的CD中(Specs andStrategy,Specifications,Windows NT File Format Specifications)，但是它非常之晦涩。

然而这一的文档并未提供足够的信息，所以开发者们无法很好地弄懂PE 格式。

本文旨在解决这一问题，它会对整个的PE文件格式作一个十分彻底的解释，另外，本文中还带有对所有必需结构的描述以及示范如何使用这些信息的源码示例。

为了获得PE文件中所包含的重要信息，我编写了一个名为PEFILE.DLL 的动态链接库，本文中所有出现的源码示例亦均摘自于此。

这个DLL和它的源代码都作为PEFile示例程序的一部分包含在了CD中(译注：示例程序请在MSDN中寻找，本站恕不提供)，你可以在你自己的应用程序中使用这个DLL；同样，你亦可以依你所愿地使用并构建它的源码。

在本文末尾，你会找到PEFILE.DLL的函数导出列表和一个如何使用它们的说明。

我觉得你会发现这些函数会让你从容应付PE文件格式的。

介绍Windows操作系统家族最近增加的Windows NT为开发环境和应用程序本身带来了很大的改变，这之中一个最为重大的当属PE文件格式了。

新的PE文件格式主要来自于UNIX操作系统所通用的COFF规范，同时为了保证与旧版本MS-DOS及Windows操作系统的兼容，PE文件格式也保留了MS-DOS中那熟悉的MZ头部。

在本文之中，PE文件格式是以自顶而下的顺序解释的。

在你从头开始研究文件内容的过程之中，本文会详细讨论PE文件的每一个组成部分。

许多单独的文件成分定义都来自于Microsoft Win32 SDK开发包中的WINNT.H文件，在这个文件中你会发现用来描述文件头部和数据目录等各种成分的结构类型定义。

但是，在WINNT.H中缺少对PE文件结构足够的定义，在这种情况下，我定义了自己的结构来存取文件数据。

你会在PEFILE.DLL工程的PEFILE.H中找到这些结构的定义，整套的PEFILE.H开发文件包含在PEFile示例程序之中。

本文配套的示例程序除了PEFILE.DLL示例代码之外，还有一个单独的Win32示例应用程序，名为EXEVIEW.EXE。

创建这一示例目的有二：首先，我需要测试PEFILE.DLL的函数，并且某些情况要求我同时查看多个文件；其次，很多解决PE文件格式的工作和直接观看数据有关。

例如，要弄懂导入地址名称表是如何构成的，我就得同时查看.idata段头部、导入映像数据目录、可选头部以及当前的.idata段实体，而EXEVIEW.EXE就是查看这些信息的最佳示例。

闲话少叙，让我们开始吧。

PE文件结构PE文件格式被组织为一个线性的数据流，它由一个MS-DOS头部开始，接着是一个是模式的程序残余以及一个PE文件标志，这之后紧接着PE文件头和可选头部。

这些之后是所有的段头部，段头部之后跟随着所有的段实体。

文件的结束处是一些其它的区域，其中是一些混杂的信息，包括重分配信息、符号表信息、行号信息以及字串表数据。

我将所有这些成分列于图1。

图1.PE文件映像结构从MS-DOS文件头结构开始，我将按照PE文件格式各成分的出现顺序依次对其进行讨论，并且讨论的大部分是以示例代码为基础来示范如何获得文件的信息的。

所有的源码均摘自PEFILE.DLL模块的PEFILE.C文件。

这些示例都利用了Windows NT最酷的特色之一--内存映射文件，这一特色允许用户使用一个简单的指针来存取文件中所包含的数据，因此所有的示例都使用了内存映射文件来存取PE文件中的数据。

注意：请查阅本文末尾关于如何使用PEFILE.DLL的那一段。

MS-DOS头部/实模式头部如上所述，PE文件格式的第一个组成部分是MS-DOS头部。

在PE文件格式中，它并非一个新概念，因为它与MS-DOS 2.0以来就已有的MS-DOS头部是完全一样的。

保留这个相同结构的最主要原因是，当你尝试在Windows 3.1以下或MS-DOS 2.0以上的系统下装载一个文件的时候，操作系统能够读取这个文件并明白它是和当前系统不相兼容的。

换句话说，当你在MS-DOS 6.0下运行一个Windows NT可执行文件时，你会得到这样一条消息："This program cannot be run in DOS mode."如果MS-DOS头部不是作为PE文件格式的第一部分的话，操作系统装载文件的时候就会失败，并提供一些完全没用的信息，例如："The name specified is not recognized as an internal or external command,operable program or batch file."MS-DOS头部占据了PE文件的头64个字节，描述它内容的结构如下：//WINNT.H typedef struct _IMAGE_DOS_HEADER{//DOS的.EXE头部USHORT e_magic；//魔术数字USHORT e_cblp；//文件最后页的字节数USHORT e_cp；//文件页数USHORT e_crlc；//重定义元素个数USHORT e_cparhdr；//头部尺寸，以段落为单位USHORT e_minalloc；//所需的最小附加段USHORT e_maxalloc；//所需的最大附加段USHORT e_ss；//初始的SS值(相对偏移量)USHORT e_sp；//初始的SP值USHORT e_csum；//校验和USHORT e_ip；//初始的IP值USHORT e_cs；//初始的CS值(相对偏移量)USHORT e_lfarlc；//重分配表文件地址USHORT e_ovno；//覆盖号USHORT e_res[4]；//保留字USHORT e_oemid；//OEM标识符(相对e_oeminfo)USHORT e_oeminfo；//OEM信息USHORT e_res2[10]；//保留字LONG e_lfanew；//新exe头部的文件地址}IMAGE_DOS_HEADER,*PIMAGE_DOS_HEADER；第一个域e_magic，被称为魔术数字，它被用于表示一个MS-DOS兼容的文件类型。

合集下载

电脑有哪些文件类型

电脑有哪些文件类型

电脑有哪些文件类型E某E：可执行文件某LS：E某CEL文件DOC：WORD文件RAR、ZIP：压缩文件AVI、RM、RMVB、WAV、WMV、MPG：视频文件格式BMP：Bitmap位图文件T某T：文本文件URL：InternetShortcut(internet上URL地址的快捷方式)GHO：Norton克隆磁盘映像HTM，HTML：超文本文档ISO：根据ISD9660有关CD-ROM文件系统标准列出CD-ROM上的文件JAR：Java档案文件（一种用于applet和相关文件的压缩文件）JAVA：Java源文件JPE，JPEG，JPG：JPEG图形文件LST：列表文件MP3：音乐格式MID：MIDI音乐SWF:flah是Micromedia公司的产品PPT:powerpoint文件BAT：批处理文件JPG图片MP3歌曲T某T文本DVDRMVB这些电影视频DBF：dBASE文件，一种由Ahton-Tate创建的格式，可以被ACT！、Lipper、Fo某Pro、Arago、Wordtech、某bae和类似数据库或与数据库有关产品识别；可用数据文件（能被E某cel97打开）；Oracle8.1.某表格空间文件DB某：DataBearn图像；MicrooftViualFo某Pro表格文件DCT：MicrooftViualFo某Pro数据库容器DCU：Delphi编译单元文件DC 某：MicrooftViualFo某Pro数据库容器；基于PC某的传真图像；宏DIR：MacromediaDirector文件DLL：动态链接库DOC：FrameMaker或FrameBuilder文档；WordStar文档、WordPerfect文档、Microoft：Word文档；DiplayWrite文档DOT：MicrooftWord文档模板DPL：BorlandDelph3压缩库DRV：驱动程序DRW：Micrograf某Deigner/Draw；Pro/E绘画文件DSF：Micrograf某DeignerVF某文件DSG：DOOM保存的文件DSM：DynamicStudio音乐模块（MOD）文件DSP：MicrooftDeveloperStudio工程文件DSQ：CorelQUERY（查询）文件DST：刺绣机图形文件DSW：MicrooftDeveloperStudio工作区文件DTA：WorldBank（世界银行）的STARS数据文件DTD：SGML文档类型定义（DTD）文件DTED：地面高度数字数据（图形的数据格式）文件DTF：SymantecQ&A相关的数据库数据文件DTM：DigiTrakker模块文件DUN：Microoft拔号网络导出文件DV：数字视频文件（MIME）DWG：AutoCAD工程图文件；AutoCAD或GenericCADD老版本的绘图格式D某R：MacromediaDirector受保护（不可编辑）电影文件EEDA：EnoniqASR磁盘映像EDD：元素定义文档（FrameMaker+SGML文档）EDE：EnoniqEPS磁盘映像EDK：EnoniqKT磁盘映像EDQ：EnoniqSQ1/SQ2/K32磁盘映像EDS：EnoniqSQ80磁盘映像EDV：EnoniqVF 某-SD磁盘映像EFA：EnoniqASR文件EFE：EnoniqEPS文件EFK：EnoniqKT文件EFQ：EnoniqSQ1/SQ2/K32文件EFS：EnoniqSQ80文件EFV：EnoniqRealAudio视频文件RMF：RichMap格式（3D游戏编辑器使用它来保存图）ROM：基于盒式磁带的家庭游戏仿真器文件（来自Atari2600、Colecoviion、Sega、Nintendo等盒式磁带里的ROM完全拷贝，在两个仿真器之间不可互修改）R某某：多卷档案上的RAR压缩文件（某某=1～99间的一个数字）SSAV：游戏保存文件SB：原始带符号字节（8位）数据SBK：CreativeLab的Soundfont1.0Bank文件；(Soundblater)/EMUSonndFontv1.某Bank文件SBL：ShockwaveFlah对象文件SCF：WindowE某plorer命令文件SCH：MicrooftSchedule+1SCP：拨号网络脚本文件SCR：Window屏幕保护；传真图像；脚本文件SF某：RAR自解压档案SHTML：含有服务器端包括（SSI）的HTML文件SPL：ShockwaveFlah对象；DigiTrakker抽样SQL：Informi某SQL查询；件3D：VeraCAD的3维绘画文件3DM：3DNURBS建模器，Rhino3DS：3DStudio（DOS下）格式文件386：在386或更高级处理器上使用的文件4GE：Informi某4GL编译后。

so文件格式解析 -回复

so文件格式解析 -回复

so文件格式解析-回复SO文件格式解析[首先，我们来了解一下什么是SO文件。

SO文件，全称为Shared Object，是一种共享对象文件，也被称为动态链接库。

它在Linux平台上，用于存放二进制代码和数据，供多个可执行程序共享使用。

SO文件中的函数和变量可以被多个程序引用，从而实现代码重用，提高运行效率和节省磁盘空间。

在本文中，我们将一步一步解析SO文件的格式和结构。

]1. 文件头部分(ELF Header)[SO文件以一个固定大小的文件头部分开始，该文件头部分被称为ELF Header。

ELF，全称为Executable and Linkable Format，是一种可执行文件和可链接文件的标准格式。

ELF Header 中包含了一些关键信息，可以帮助系统加载和解析SO文件。

其中一些重要字段包括：- Magic Number：一个特定的字节序列，用于标识文件为ELF格式。

- 文件类型：描述文件的类型，比如可执行文件、共享对象文件等。

- 入口地址：程序执行的入口点地址。

- 程序头表偏移：指向程序头表的偏移地址。

- 节头表偏移：指向节头表的偏移地址。

- ...2. 程序头表部分(Program Header Table)[在ELF Header之后，是一个可选的程序头表部分。

程序头表描述了如何加载文件到内存中，包括各个段的起始地址、大小、属性等。

程序头表一般由多个表项组成，每个表项对应一个段（如.text段、.data段等）。

表项中的一些重要字段包括：- 段类型：描述段的类型，如代码段、数据段等。

- 段偏移：段数据在文件中的偏移量。

- 段虚拟地址：段在内存中的起始虚拟地址。

- 段大小：段在文件中的大小。

- 段内存大小：段在内存中的大小，可能比段大小大，用于对齐。

- 属性：描述段的访问权限，如可读、可写、可执行等。

- ...3. 节头表部分(Section Header Table)[在程序头表之后，是一个节头表部分。

常见的文件头格式

常见的文件头格式

常见的文件头格式文件头格式，也称为文件标记或文件签名，是一种用于标识文件类型的数据结构。

在计算机科学中，不同的文件类型由不同的文件头格式来标识。

常见的文件头格式有许多种，下面是一些常见类型的文件头格式：1. 文本文件：UTF-8：通常以 EF BB BF 开头。

UTF-8 是一种可变长度字符编码，用于表示 Unicode 字符。

UTF-16：通常以 FE FF 开头。

UTF-16 是一种 Unicode 字符编码。

ISO-8859-1：也称为 Latin-1，通常以 00 开头。

它是一种用于西欧语言的字符编码。

2. 图片文件：JPEG：以 FF D8 FF 开头。

JPEG 是一种常见的图像文件格式。

PNG：以 89 50 4E 47 0D 0A 1A 0A 开头。

PNG 是一种无损压缩的位图图形格式。

GIF：以 47 49 46 38 或 47 49 46 39 开头。

GIF 是一种基于 LZW 算法的连续色调无损压缩格式。

3. 音频文件：MP3：不同的编码可能有所不同，但常见的以 FF FB 开头。

MP3 是一种音频压缩格式。

WAV：通常以 52 49 46 46 开头。

WAV 是 Windows 操作系统下的音频文件格式。

4. 视频文件：AVI：通常以 52 49 46 46 开头。

AVI 是 Microsoft 开发的音频视频交错格式。

MP4：以 66 FF FF 或 00 FF FF 开头。

MP4 是一种音频和视频封装格式，常用于数字媒体播放。

5. 压缩文件：ZIP：以 50 4B 03 04 或 50 4B 05 06 开头。

ZIP 是用于数据压缩的归档文件格式。

RAR：以 52 61 72 开头。

RAR 是用于数据压缩的归档文件格式，由 WinRAR 公司开发。

6. 可执行文件：PE (Windows 可执行文件)：通常以 4D 5A 开头。

PE 是 Microsoft Windows 可执行文件的格式。

Dos_MZ文件格式

Dos_MZ文件格式

Dos-mz 可执行（特指exe）文件分为2部分：头部+代码部分；其中：头部：文件头+重定位表；代码部分：程序的所有2进制数据；文件头：0000h 2 char id="MZ";//幻数；0002h 1 word lastsize; //最后一个块使用的字节数；0004h 1 word nblocks; //512字节块的个数；0006h 1 word nreloc; //重定位项个数；0008h 1 word hdrsize; //以16字节段为单位的文件头部尺寸；000ah 1 word minalloc; //需额外分配的最小内存量；000ch 1 word maxalloc; //需额外分配的最大内存量；000eh 1 word initial ss relative to start of executable ；0010h 1 word initial sp ；0012h 1 word checksum; //文件校验和；0014h 1 dword cs:ip relative to start of executable (entry point)；(第一字节ip第二字节cs) ；0018h 1 word relocpos; //重定位修正表位置；40h for new-(ne,le,lx,w3,pe etc.) executable ；001ah 1 word noverlay; //重叠的个数，程序为0；说明：1、sizeof（char）=1；sizeof（word）=2; sizeof(dword)=4;2、sizeof（头部+代码部分）=512*（nblocks-1）+lastsize；一般文件大小也等于这个大小，但有的编译器会在代码部分后加上额外的信息使文件变大，额外信息不影响程序的运行可直接删除；3、一般sizeof（文件头）=512；4、重定位表位置是在文件中的偏移；一般汇编器从1eH 处开始为重定位表项；1bH1cH1dH 处我还不知道是什么信息；其他编译器从1cH（1bH处不知）处加自己的信息，从定位表位置要相应改变；重定位表：重定位表有nreloc个重定位表项组成；每个重定位表项格式如下：段基址：段内偏移量1 word 段内偏移量1 word 段基址共占4 字节；（注意winxp是位高权重的储存方式；如数1234H在内存中占字节00H01H；则：【00H】：34H；【01H】：12H；即照3412H格式储存；）说明：1、对每一个修正地址（重定位表项），将其中的基地址与程序代码加载的基地址相加，然后将这个重定位后的修正地址作为指针，将程序代码的实际基地址与这个指针指向的程序代码中的地址相加。