PE文件结构 - NT头学习

悠悠 2022-11-11 13:20 211阅读 0赞

PE文件基本结构如下；

![20210320190359177.PNG][]

学习一下NT头；  
NT头，包含一个4字节的Signature，以及两个结构体IMAGE\_FILE\_HEADER（文件头）和IMAGE\_OPTIONAL\_HEADER（扩展头）。

NT头：Signature，文件头，扩展头；

其定义如下； 这个是微软定义的；  
typedef struct \_IMAGE\_NT\_HEADERS \{  
    DWORD Signature;  
    IMAGE\_FILE\_HEADER FileHeader;  
    IMAGE\_OPTIONAL\_HEADER32 OptionalHeader;  
\} IMAGE\_NT\_HEADERS32, \*PIMAGE\_NT\_HEADERS32;

Signature 字段被设置为 0x00004550H，ASCII 码字符是 PE00；

用winhex打开win自带的记事本看一下；

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70][]

当前NT头的Signature在偏移为000000F0的一行；

NT头不在一个固定位置；我还不是很清楚；其位置可能是由DOS头的e\_lfanew字段指出；

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70 1][]

PE文件头定义了PE文件的一些基本信息和属性，这些属性会在PE加载器加载时用到，如果加载器发现PE文件头中定义的一些属性不满足当前的运行环境，将会终止加载该PE；

可选头，它在不同的平台下是不一样的，例如32位下是IMAGE\_OPTIONAL\_HEADER32，而在64位下是IMAGE\_OPTIONAL\_HEADER64；

[20210320190359177.PNG]: /images/20221022/f42d57ab7ea14d8db4a0d6964beb3b4b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70]: /images/20221022/f507f3b3d67643e49d2d8f6934eb3c2f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2JjYm9ibzIxY24_size_16_color_FFFFFF_t_70 1]: /images/20221022/11301b10266a48b88b333d3ba4c8c094.png

发表评论取消回复

表情：

评论列表（有 0 条评论，211人围观）

还没有评论，来说两句吧...

相关阅读

相关 PE结构学习(2)_PE结构的组成

PE结构的组成 PE结构概述图由下图可得，PE文件主要分为四部分，分别有DOS部分、PE文件头、节表以及节数据 ![请添加图片描述][fab0e4e9cbf14

ゝ一世哀愁。/ 2023年10月06日 23:34/ 0 赞/ 7 阅读

相关初识PE文件结构

前言目前网络上有关PE文件结构说明的文章太多了，自己的这篇文章只是单纯的记录自己对PE文件结构的学习、理解和总结。基础概念 PE（Portable Execu

青旅半醒/ 2023年06月02日 09:11/ 0 赞/ 11 阅读

相关 PE文件结构 - 数据目录表学习

数据目录表，是一个结构体数组。数组里的每个元素对应一个数据表。通常有16个。数组每个元素都是一个结构体，结构体如下 typedef struct \_IMAGE\_D

傷城~/ 2022年11月11日 13:26/ 0 赞/ 214 阅读

相关 PE文件结构 - NT头学习

PE文件基本结构如下； ![20210320190359177.PNG][] 学习一下NT头； NT头，包含一个4字节的Signature，以及两个结构体IMAGE\_

悠悠/ 2022年11月11日 13:20/ 0 赞/ 212 阅读

相关 PE文件详解之IMAGE_NT_HEADER结构

PE Header 是PE相关结构NT映像头（IMAGE\_NT\_HEADER）的简称。里面包含了许多PE装载器用到的重要字段。先看看该结构体： typedef

た入场券/ 2022年08月04日 14:44/ 0 赞/ 253 阅读

相关 PE文件详解之PE文件头

1, PE文件头（PE Header ）紧挨着 DOS stub 2, PE Header 是PE相关结构NT映像头（IMAGE\_NT\_HEADER）的简称。里面包含着

￡神魔★判官ぃ/ 2022年08月04日 14:44/ 0 赞/ 400 阅读

相关 PE文件详解之MS-DOS头

MS-DOS头 1，每个PE文件是以一个DOS程序开始的，有了它，一旦程序在DOS下执行，DOS才能识别出这是有效的执行体。 2，PE文件的第一个字节起始于一个传统的M

秒速五厘米/ 2022年08月04日 14:44/ 0 赞/ 299 阅读

相关 PE 文件结构简介

Peering Inside the PE: A Tour of the Win32 Portable Executable File Format 原文链接： [https

待我称王封你为后i/ 2022年07月13日 13:41/ 0 赞/ 243 阅读

相关 PE Header中的FIleHeader(文件头)

IMAGE\_FILE\_HEADER STRUCT Machine WORD ? NumberOfSections WORD ? TimeDateStamp dd

待我称王封你为后i/ 2021年12月20日 08:29/ 0 赞/ 398 阅读

相关 C语言编程获取PE文件DOS头

include <windows.h> include <stdio.h> include <tchar.h> int _tmain(in

电玩女神/ 2021年09月10日 19:00/ 0 赞/ 439 阅读