PE文件结构 - NT头学习

悠悠 2022-11-11 13:20 175阅读 0赞

PE文件基本结构如下；

![20210320190359177.PNG][]

学习一下NT头；  
NT头，包含一个4字节的Signature，以及两个结构体IMAGE\_FILE\_HEADER（文件头）和IMAGE\_OPTIONAL\_HEADER（扩展头）。

NT头：Signature，文件头，扩展头；

其定义如下； 这个是微软定义的；  
typedef struct \_IMAGE\_NT\_HEADERS \{  
    DWORD Signature;  
    IMAGE\_FILE\_HEADER FileHeader;  
    IMAGE\_OPTIONAL\_HEADER32 OptionalHeader;  
\} IMAGE\_NT\_HEADERS32, \*PIMAGE\_NT\_HEADERS32;

Signature 字段被设置为 0x00004550H，ASCII 码字符是 PE00；

用winhex打开win自带的记事本看一下；

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70][]

当前NT头的Signature在偏移为000000F0的一行；

NT头不在一个固定位置；我还不是很清楚；其位置可能是由DOS头的e\_lfanew字段指出；

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70 1][]

PE文件头定义了PE文件的一些基本信息和属性，这些属性会在PE加载器加载时用到，如果加载器发现PE文件头中定义的一些属性不满足当前的运行环境，将会终止加载该PE；

可选头，它在不同的平台下是不一样的，例如32位下是IMAGE\_OPTIONAL\_HEADER32，而在64位下是IMAGE\_OPTIONAL\_HEADER64；

[20210320190359177.PNG]: /images/20221022/f42d57ab7ea14d8db4a0d6964beb3b4b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70]: /images/20221022/f507f3b3d67643e49d2d8f6934eb3c2f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70 1]: /images/20221022/11301b10266a48b88b333d3ba4c8c094.png

发表评论取消回复

表情：

评论列表（有 0 条评论，175人围观）

还没有评论，来说两句吧...

相关阅读

相关 PE文件

PE文件全称：Portable Executable，可移植可执行文件常见PE文件的后缀名：exe、dll PE文件吧可执行文件分成若干个数据节（section）：.te

以你之姓@/ 2022年11月25日 10:11/ 0 赞/ 243 阅读

相关 PE文件结构 - 数据目录表学习

数据目录表，是一个结构体数组。数组里的每个元素对应一个数据表。通常有16个。数组每个元素都是一个结构体，结构体如下 typedef struct \_IMAGE\_D

傷城~/ 2022年11月11日 13:26/ 0 赞/ 169 阅读

相关 PE文件结构 - NT头学习

PE文件基本结构如下； ![20210320190359177.PNG][] 学习一下NT头； NT头，包含一个4字节的Signature，以及两个结构体IMAGE\_

悠悠/ 2022年11月11日 13:20/ 0 赞/ 176 阅读

相关分析pe文件资源(学习)

PE文件，全称Portable Executable文件，是Windows系统可执行文件采用的普遍格式，像我们平时接触的EXE、DLL、OCX，甚至SYS文件都属于PE文件

拼搏现实的明天。/ 2022年08月24日 08:53/ 0 赞/ 195 阅读

相关 PE文件详解之IMAGE_NT_HEADER结构

PE Header 是PE相关结构NT映像头（IMAGE\_NT\_HEADER）的简称。里面包含了许多PE装载器用到的重要字段。先看看该结构体： typedef

た入场券/ 2022年08月04日 14:44/ 0 赞/ 210 阅读

相关 PE文件详解之PE文件头

1, PE文件头（PE Header ）紧挨着 DOS stub 2, PE Header 是PE相关结构NT映像头（IMAGE\_NT\_HEADER）的简称。里面包含着

￡神魔★判官ぃ/ 2022年08月04日 14:44/ 0 赞/ 323 阅读

相关 PE文件详解之MS-DOS头

MS-DOS头 1，每个PE文件是以一个DOS程序开始的，有了它，一旦程序在DOS下执行，DOS才能识别出这是有效的执行体。 2，PE文件的第一个字节起始于一个传统的M

秒速五厘米/ 2022年08月04日 14:44/ 0 赞/ 229 阅读

相关 PE 文件结构简介

Peering Inside the PE: A Tour of the Win32 Portable Executable File Format 原文链接： [https

待我称王封你为后i/ 2022年07月13日 13:41/ 0 赞/ 207 阅读

相关 PE Header中的FIleHeader(文件头)

IMAGE\_FILE\_HEADER STRUCT Machine WORD ? NumberOfSections WORD ? TimeDateStamp dd

待我称王封你为后i/ 2021年12月20日 08:29/ 0 赞/ 366 阅读

相关 C语言编程获取PE文件DOS头

include <windows.h> include <stdio.h> include <tchar.h> int _tmain(in

电玩女神/ 2021年09月10日 19:00/ 0 赞/ 377 阅读