解密系列（系统篇_PE结构详解笔记1）

从某种意义上讲，可执行文件的格式是操作系统本身执行机制的反映。掌握可执行文件的数据结构及其一些运行机理，也是研究软件安全的必修课。

EXE文件和DLL文件之间区别完全是语义的，因为它们使用相同的PE结构，唯一的区别就是一个字段，标识出是EXE还是DLL。

PE格式定义的主要地方位于我们的文件winnnt.h，这个头文件几乎能找到关于PE文件的所有定义。

PE文件中的数据结构一般都有32位和64位之分，我们主要是倾向32位进行研究，64位只是32位的扩展，结构几乎是一模一样的。

PE文件框架结构：



PE详细结构：



PE文件使用的是一个平面地址空间，所有代码和数据都合并在一起，组成一个很大的结构。

文件的内容被分割成不同的区块，块中包含代码和数据，每个区块按页分界来对齐，区块没有大小限制。但每个块都有在内存中的一套属性。

PE文件不是作为单一内存映射文件被装入内存。

Windows加载器遍历PE文件并决定文件的哪一部分被映射，这种映射方式是将文件较高的偏移位置映射到地址较高的地址中。

当磁盘文件被装入内存中，磁盘上的数据结构布局和内存中的数据布局是一致的，这样如果知道在磁盘的数据结构中寻找一些内容，那么几乎都能在装入到内存映射文件中找到相同的信息。但数据之间的相对位置可能改变。

基地址：整个PE文件结构映射到内存中时，基地址就是文件头地址。在Windows NT架构上，它是整个模块的句柄，抓住了这个句柄就能操纵整个数据结构。

文件偏移地址：也就是整个PE文件映射到内存中时，各个区块相对于基地址的偏移地址。

虚拟地址：每个区的地址，注意是映射到内存中时。