在线pem格式解析

什么是PE文件？

PE文件的全称是Portable Executable，意为可移植的可执行的文件

PE文件是指32位可执行文件，也称为PE32。64位的可执行文件称为PE+或PE32+,是PE(PE32)的一种扩展形式（请注意不是PE64)。

常见种类

种 类	主扩展名	种 类	主扩展名
可执行系列	EXE、SCR	驱动程序系列	SYS、VXD
库系列	DLL、OCX、CPL、DRV	对象文件系列	OBJ

展示使用软件

PEview.exe工具是一款可以进行PE文件解析的强大PE文件解析工具。通过PEview软件，我们一起来分析PE文件的详细格式。

通过PEview查看PE文件格式

 

1.DOS头

PE文件头部中的DOS头分为MZ文件头和DOS块

分别对应的是IMAGE_DOS_HEADER和MS-DOS Stub Program

IMAGE_DOS_HEADER头的大小是64个字节

 从4D 5A开头 一直到F0 00 00 00

前两个字节0x4D和0x5A，是字母“M”和“Z”的ASCII码，是MS-DOS设计者Mark Zbikowski的姓名缩写。

最后四个字节，表示下一个头部，即NT头的偏移地址，可以看到，该值是0x000000F0，即NT头的起始地址是0x000000F0

 DOS块

DOS块跟在IMAGE_DOS_HEADER后面，其中，“MS-DOS stub Program”即为DOS块。从字面上理解，DOS块是一个在DOS环境下可以运行的程序，在图3所示的界面中点击左侧的“MS-DOS stub Program”，则会在右侧显示该程序的数据.

“This program cannot be run in DOS mode”，来提示用户PE程序必须在Windows下才能运行

IMAGE_DOS_HEADER STRUCT
{
+0h WORD e_magic    // Magic DOS signature MZ(4Dh 5Ah)     DOS可执行文件标记
+2h WORD e_cblp    // Bytes on last page of file
+4h WORD e_cp    // Pages in file
+6h WORD e_crlc    // Relocations
+8h WORD e_cparhdr   // Size of header in paragraphs
+0ah WORD e_minalloc   // Minimun extra paragraphs needs
+0ch WORD e_maxalloc  // Maximun extra paragraphs needs
+0eh WORD e_ss            // intial(relative)SS value        DOS代码的初始化堆栈SS
+10h WORD e_sp     // intial SP value                       DOS代码的初始化堆栈指针SP
+12h WORD e_csum     // Checksum
+14h WORD e_ip     // intial IP value               DOS代码的初始化指令入口[指针IP]
+16h WORD e_cs     // intial(relative)CS value         DOS代码的初始堆栈入口
+18h WORD e_lfarlc     // File Address of relocation table
+1ah WORD e_ovno         // Overlay number
+1ch WORD e_res[4]      // Reserved words
+24h WORD e_oemid      // OEM identifier(for e_oeminfo)
+26h WORD      e_oeminfo   // OEM information;e_oemid specific
+29h WORD e_res2[10]   // Reserved words
+3ch DWORD   e_lfanew     //  Offset to start of PE header      指向PE文件头
} IMAGE_DOS_HEADER ENDS
 
 
 
e_magic：一个WORD类型，值是一个常数0x4D5A，用文本编辑器查看该值位‘MZ’，可执行文件必须都是'MZ'开头。
e_lfanew：为32位可执行文件扩展的域，用来表示DOS头之后的NT头相对文件起始地址的偏移。

有用的只有两个数据，一个是 e_magic 固定为 “MZ”，另外一个是最后的 e_lfanew ，指向pe头 

2.NT头

NT头包括Signatrue、IMAGE_FILE_HEADER和IMAGE_OPTIONAL_HEADER三部分。 

Signatrue

• Signatrue也叫做PE文件的文件签名，标志该文件的类型为PE。
• Signatrue共4个字节，其值为0x00004550，即为字符串“PE”。
• 这个值也是不会变化的。 

IMAGE_FILE_HEADER

 

IMAGE_FILE_HEADER部分共20字节。

从上往下看，

①头两个字节表示机器类型，用于标识CPU的类型，后两个字节表示CPU为Intel 386或后继处理器及其兼容处理器；

②接下来的Number of Section表示节的数目，0x0010表示本应用程序有16个节（section）
③第三个Time date stamp表示时间,这里没有值，如果有值可以换算成十进制秒然后再换算成年月日之类的

④Size of optional header这两个字节是IMAGE_OPTIONAL_HEADER，即NT头的第三部分的大小，其值为0x00E0；

0x00E0就是十进制的224，也就是说OptionalHeader的大小是224字节。

⑤Characteristics这两个字节指定了文件特征值，其值为0x0106

IMAGE_OPTIONAL_HEADER

IMAGE_OPTIONAL_HEADER头由两部分组成:参数部分和数据目录部分；OptionalHeader，占224个字节 

3.section头

• PE文件的NT头之后就是节（section）头，
• 每个节头的大小是40字节。
• PE文件包含的节，可以从图中找到这些节对应的节头

• 后缀的意义
• .bss 未初始化的数据
  .data 代码节
  .edata 导出表
  .idata 导入表
  .pdata 异常信息
  .rdata 只读的已初始化数据（常量）
  .reloc 重定位信息
  .rsrc 资源目录
  .sbss 与GP相关的未初始化数据
  .sdata 与GP相关的已初始化数据
  .text 默认代码节
  .idlsym 包含已注册的SEH，以支持IDL

 

• Name表示节头的名称，其大小为8个字节；
 Virtual Size表示节头对应的节的大小，其大小为4个字节；
 RVA是Relative Virtual Address的简称，即相对虚拟地址，指定了节头对应节的RVA，其大小为4个字节；
 Size of Raw Data指的是磁盘文件中已经初始化数据的大小，其大小为4个字节；
 Pointer to Raw Data、Pointer to Relocations和Pointer to Line Numbers分别保存了节中数据起始地址、重定位项起始地址和行号信息数量的地址，大小均为4个字节；
 Number of Relocations和Number of Line Numbers分别表示节中重定位项的数量和行号信息的数量，大小均为2个字节，
 Characteristics是描述节特征的标志，大小为4个字节。
 Characteristics是描述节特征的标志，其大小为4个字节，共32位，
Characteristics各位含义
 1-5            未使用                         6              此节包含可执行代码
 7                此节包含已初始化的数据         8            此节包含未初始化的数据
 9-15             未使用                       16             此节包含通过全局指针来引用的数据
 17-24       未使用                            25            此节包含扩展的重定位信息   
 26             此节可以在需要时被丢弃          27            此节不能被缓存
 28              此节不能被交换到页面文件中      29              此节可以在内存中共享   
 30            此节可以作为代码执行             31              此节可读
 32         此节可写

地址位置