探索Win32可执行文件格式：PE剖析

需积分: 10 166 浏览量更新于2024-07-26 收藏 448KB PDF 举报

"这篇资料详细介绍了PE分析，即对Portable Executable (PE) 文件格式的探索，适合对Win32可执行文件有兴趣的读者。作者Matt Pietrek通过这篇文章揭示了PE文件格式在Microsoft操作系统中的重要地位，包括Windows NT、Win32s以及Windows 95。文章不仅适用于那些已经在Win32s或Windows NT环境下工作的人，也适用于使用Visual C++进行Windows 3.1编程的开发人员，因为他们的程序实际上都采用了PE格式。 PE文件格式在Windows生态系统的广泛使用意味着理解其内部工作原理对于软件开发者来说变得越来越重要。作者并不专注于深入到十六进制细节，而是解释了PE文件格式如何影响日常编程实践，如线程局部变量的实现。他将Win32的PE文件格式与16位Windows的NE文件格式进行了对比，帮助那些熟悉16位环境的读者更好地适应新环境。此外，资料还提到了Microsoft在编译器和汇编程序生成的新OBJ文件格式，该格式与PE文件有诸多相似之处。尽管官方文档可能难以获取，作者决定自己揭秘这个新OBJ格式，并在讨论PE格式的同时涵盖了这部分内容。文章揭示了Windows NT操作系统设计的根源，如VAX VMS和UNIX系统，指出许多Windows NT的设计者都有在这些平台上工作的背景。这解释了为什么Windows NT会采用一些类似的设计决策，并且预示着PE格式将继续在未来的Microsoft操作系统中发挥关键作用，如Windows 2000。这份资料是一份宝贵的PE分析学习资源，通过它，读者可以深入了解Win32可执行文件的内部构造，以及这些构造如何与实际编程实践相结合。对于想要提升对Windows系统底层理解的开发者来说，这是一个不可多得的学习工具。"

件对操作系统的意义（EXE 还是 DLL 等）、初始化的堆栈大小和其它一些重要的信息，我后面会

讲到。与 Microsoft 的其它可执行文件格式一样，这个主要的文件头并不是位于文件的最前面。

在一个典型的 PE 文件中，它最前面的几百个字节通常是一个 MS-DOS 占位程序（stub）。这个占

位程序通常是输出一句“This program cannot be run in MS-DOS mode.”这样的信息。因此如

果你在一个并不支持Win32 的环境中运行基于 Win32 的程序，就会得到这样的一个错误提示信息。

当 Win32 加载器映射 PE 文件时，它映射的第一个字节就是这个 MS-DOS 占位程序的第一个字节。

确实是这样的。当你启动一个基于 Win32 的程序时，竟然同时免费得到了一个基于 MS-DOS 的程

序！

与 Microsoft 的其它可执行文件格式一样，你必须通过查找 PE 文件头的偏移地址来获取这

个实际的文件头，这个偏移地址被保存在 MS-DOS 占位程序的文件头中。WINNT.H 文件中包含了

MS-DOS 占位程序文件头结构的定义，因此很容易就能找到 PE 文件头的起始地址。e_lfanew 域保

存的就是就是实际的 PE 文件头的相对偏移（如果你喜欢，也可以称为 RVA）。要获取在内存中

指向 PE 文件头的指针，只要把这个域的值与映像的基地址相加就可以了，如下所示：

// 为了清楚起见，我省略了类型转换与指针转换

pNTHeader = dosHeader + dosHeader->e_lfanew;

一旦你有了一个指向 PE 文件头的指针，一切就变得明朗起来了。PE 文件头是一个

IMAGE_NT_HEADERS 类型的结构，它在 WINNT.H 文件中定义。这个结构由一个 DWORD 和两个子结

构组成，如下所示：

DWORD Signature;

IMAGE_FILE_HEADER FileHeader;

IMAGE_OPTIONAL_HEADER OptionalHeader;

Signature 域是 ASCII 文本“PE\0\0”。如果你处理的是 16 位 Windows 上的 NE 文件，你会

发现 MS-DOS 文件头中的 e_lfanew 域指向的不是 PE 签名而是 NE 签名。同样，LE 格式中的

Signature 域会表明它是一个 Windows 3.x 上的虚拟设备驱动程序（VxD）。LX 格式将会表明它

是 OS/2 2.0 版上的可执行文件。

PE 文件头中接着 PE 签名的那个 DWORD 之后是一个 IMAGE_FILE_HEADER 类型的结构。这个结

构仅包含了文件最基本的信息。看起来这个结构好像还是从最初的那个 COFF 结构来的，并未修

改。除了是 PE 文件头的一部分外，它也出现在由 Microsoft Win32 编译器生成的 COFF 格式的

OBJ 文件的最前面。这个结构如表 2 所示。

表 2 IMAGE_FILE_HEADER 结构

WORD Machine

文件所适用于的 CPU 类型。已经定义了以下 CPU ID：

0x14d Intel i860

0x14c Intel I386 （486 和 586 也用此 ID）

剩余33页未读，继续阅读

aa20101202

粉丝: 0
资源: 1

探索Win32可执行文件格式：PE剖析

pe 资料

PE工作分析

PE FILE ANALYSIS

PE文件分析

PE分析工具

PE文件格式分析

PE分析小工具

PE 文件格式分析

PE分析脚本python

基于java的论坛系统的开题报告.docx

最新资源