PE文件（一）

PE文件是指某一种格式的文件，exe，dll，sys等等 ，都是PE格式的文件。 PE文件大体可以分为两部分，头和主体，两个部分都会在内部进行细分，头由几个结构体组成，含这个文件一些描述信息，主体由多个段组成，包含文件的可执行代码和一些执行时要使用的资源，数据等等。 下面这张网上找的图作为参考 首先我们来看DOS头，DOS头是用来兼容DOS系统的，定义如下

typedef struct _IMAGE_DOS_HEADER { // DOS .EXE header WORD e_magic; // Magic number WORD e_cblp; // Bytes on last page of file WORD e_cp; // Pages in file WORD e_crlc; // Relocations WORD e_cparhdr; // Size of header in paragraphs WORD e_minalloc; // Minimum extra paragraphs needed WORD e_maxalloc; // Maximum extra paragraphs needed WORD e_ss; // Initial (relative) SS value WORD e_sp; // Initial SP value WORD e_csum; // Checksum WORD e_ip; // Initial IP value WORD e_cs; // Initial (relative) CS value WORD e_lfarlc; // File address of relocation table WORD e_ovno; // Overlay number WORD e_res[4]; // Reserved words WORD e_oemid; // OEM identifier (for e_oeminfo) WORD e_oeminfo; // OEM information; e_oemid specific WORD e_res2[10]; // Reserved words LONG e_lfanew; // File address of new exe header } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

其中这个好几个成员 只需要记住第一个和最后一个就行，其他的大多已经没什么用了，其内容常年以0居多。

第一个成员 e_magic ,是一个标记，DOS头标志位，其值恒为4D5A ，在系统中用宏定义为 ：

#define IMAGE_DOS_SIGNATURE 0x5A4D // MZ

这个成员的作用是可以作为判断一个文件是否为PE文件，下面我们来看代码

#include "stdafx.h" #include <windows.h> bool IsPeFile(TCHAR Path[]) { HANDLE hFile =CreateFile( Path, GENERIC_READ | GENERIC_WRITE, NULL, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL); BOOL bSuccess = TRUE; DWORD dwFileSize = GetFileSize(hFile, 0); DWORD dwReadSize = 0; PBYTE buf = new BYTE[dwFileSize]; memset(buf, 0, dwFileSize); ReadFile(hFile, buf, dwFileSize, &dwReadSize, NULL); PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)buf; if (pDos->e_magic !=IMAGE_DOS_SIGNATURE) { bSuccess = FALSE; } PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)(pDos->e_lfanew + buf);//找到NT头 if (pNt->Signature != IMAGE_NT_SIGNATURE) { bSuccess = FALSE; } CloseHandle(hFile); delete buf; buf = nullptr; return bSuccess; } int _tmain(int argc, _TCHAR* argv[]) { bool bpe = IsPeFile(_T("E:\\FileCleaner2.0.exe"));//需要判断文件的路径 if (bpe) { printf("是"); } else { printf("不是"); } return 0; }

有了以上的代码就可以判断一个文件是否为PE文件。 最后一个成员 e_lfanew 标识NT头部在文件中的偏移，有了它就可以找到后面NT头在文件中的位置，在上面的代码中其实已经用过了这个成员 在这里： PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)(pDos->e_lfanew + buf);

上面的代码不但判定了DOS头的标记，还判断了NT头的一个成员Signature，这个成员也是判断PE文件的标记。 下篇文章会讲到。