Win32 PE文件详解：从基础到应用的深度解读

需积分: 10 87 浏览量更新于2024-07-27 收藏 448KB PDF 举报

"本文《探索PE文件内幕 —— Win32可移植可执行文件格式之旅》由作者Matt Pietrek撰写，深入探讨了Windows操作系统中至关重要的 Portable Executable (PE) 文件格式。PE文件是Microsoft为所有基于Win32架构的系统，如Windows NT、Win32s和Windows 95设计的可执行文件格式，其重要性将在未来Windows 2000及后续版本中持续体现。无论开发者是否意识到，实际上在编写针对不同Windows版本的软件时，PE文件已经无处不在，包括Visual C++编译器生成的32位MS-DOS扩展组件。作者强调，研究PE文件格式并非程序员的主要任务，但通过理解它，开发者可以收获关于操作系统内部工作原理的宝贵洞见。文章避免了深奥的十六进制分析，而是聚焦于PE文件中的关键元素及其对日常编程的实际应用。比如，文中提到的`__declspec(thread)`关键字用于线程局部变量，这一概念在文件中的实现展示了格式的优雅之处。为了帮助读者更好地理解，文章将Win32 PE文件格式与之前的16位NE文件格式进行了对比，突出了新格式的进步。此外，作者还提到了微软编译器和汇编程序产生的新OBJ文件格式，尽管文档缺乏，他还是决定分享关于这个格式的一些细节，因为两者之间存在紧密关联。 Windows NT的设计背景也与本文紧密相连，其许多开发者在加入Microsoft之前都有在VAX VMS和UNIX等系统上的开发经验，这影响了NT的设计决策和文件格式选择。本文是一次关于PE文件格式的实用且深入的解析，有助于开发者提升对Windows系统底层运作的理解。"

件对操作系统的意义（EXE 还是 DLL 等）、初始化的堆栈大小和其它一些重要的信息，我后面会

讲到。与 Microsoft 的其它可执行文件格式一样，这个主要的文件头并不是位于文件的最前面。

在一个典型的 PE 文件中，它最前面的几百个字节通常是一个 MS-DOS 占位程序（stub）。这个占

位程序通常是输出一句“This program cannot be run in MS-DOS mode.”这样的信息。因此如

果你在一个并不支持Win32 的环境中运行基于 Win32 的程序，就会得到这样的一个错误提示信息。

当 Win32 加载器映射 PE 文件时，它映射的第一个字节就是这个 MS-DOS 占位程序的第一个字节。

确实是这样的。当你启动一个基于 Win32 的程序时，竟然同时免费得到了一个基于 MS-DOS 的程

序！

与 Microsoft 的其它可执行文件格式一样，你必须通过查找 PE 文件头的偏移地址来获取这

个实际的文件头，这个偏移地址被保存在 MS-DOS 占位程序的文件头中。WINNT.H 文件中包含了

MS-DOS 占位程序文件头结构的定义，因此很容易就能找到 PE 文件头的起始地址。e_lfanew 域保

存的就是就是实际的 PE 文件头的相对偏移（如果你喜欢，也可以称为 RVA）。要获取在内存中

指向 PE 文件头的指针，只要把这个域的值与映像的基地址相加就可以了，如下所示：

// 为了清楚起见，我省略了类型转换与指针转换

pNTHeader = dosHeader + dosHeader->e_lfanew;

一旦你有了一个指向 PE 文件头的指针，一切就变得明朗起来了。PE 文件头是一个

IMAGE_NT_HEADERS 类型的结构，它在 WINNT.H 文件中定义。这个结构由一个 DWORD 和两个子结

构组成，如下所示：

DWORD Signature;

IMAGE_FILE_HEADER FileHeader;

IMAGE_OPTIONAL_HEADER OptionalHeader;

Signature 域是 ASCII 文本“PE\0\0”。如果你处理的是 16 位 Windows 上的 NE 文件，你会

发现 MS-DOS 文件头中的 e_lfanew 域指向的不是 PE 签名而是 NE 签名。同样，LE 格式中的

Signature 域会表明它是一个 Windows 3.x 上的虚拟设备驱动程序（VxD）。LX 格式将会表明它

是 OS/2 2.0 版上的可执行文件。

PE 文件头中接着 PE 签名的那个 DWORD 之后是一个 IMAGE_FILE_HEADER 类型的结构。这个结

构仅包含了文件最基本的信息。看起来这个结构好像还是从最初的那个 COFF 结构来的，并未修

改。除了是 PE 文件头的一部分外，它也出现在由 Microsoft Win32 编译器生成的 COFF 格式的

OBJ 文件的最前面。这个结构如表 2 所示。

表 2 IMAGE_FILE_HEADER 结构

WORD Machine

文件所适用于的 CPU 类型。已经定义了以下 CPU ID：

0x14d Intel i860

0x14c Intel I386 （486 和 586 也用此 ID）

剩余33页未读，继续阅读

「已注销」

粉丝: 4
资源: 9

Win32 PE文件详解：从基础到应用的深度解读

深入理解PE文件格式：Win32可移植可执行文件探索

深入理解PE文件格式：Win32可移植可执行文件解析

Win32可执行文件格式探索：PE文件内幕解析

深入剖析Win32可移植可执行文件格式

探索PE文件内幕

PE文件格式之win32应用程序初探[定义].pdf

深入理解Win32可移植可执行文件格式(PE)

Win32可移植可执行（PE）文件格式深度解析

深入理解Win32可移植可执行（PE）文件格式

深入解析Win32可移植可执行（PE）文件格式

最新资源