PE结构学习(1)_认识PE文件

刺骨的言语ヽ痛彻心扉 2023-10-06 23:34 5阅读 0赞

## 认识PE文件 ##

### 什么是PE文件 ###

PE（Portable Executable）文件是Windows操作系统上的一种可执行文件格式。它包含了可执行代码、数据、资源和元数据，以及其他必要的信息，例如程序入口点、导入表、导出表和重定位表等等。PE文件是Windows操作系统中所有可执行文件的标准格式，包括应用程序、动态链接库（DLL）、驱动程序等等

可执行文件在不同的操作系统平台有不同的结构

*  Windows平台：PE(Portable Executable)
 *  Linux平台：ELF(Executable and Linking Format)

常见的PE文件后缀名有EXE, DLL,SYS等

### PE指纹 ###

可以通过PE指纹来识别该文件是否为PE文件，首先用notepad打开此文件并查看其16进制格式，可以发现开头的ASCII码是"MZ"，然后观察偏移量为`3C`的位置,其硬编码为`F8`,对应的ASCII码为`?`  
![请添加图片描述][e5cf41dce685484cbd2635cdf9b830bc.png]

然后再找到偏移量为`F8`的位置,发现一个`50`和`45`,其对应的ASCII码为`PE`  
![请添加图片描述][e85e3782f16247dfa6c5db891a4ac59d.png]

以下是通过识别PE指纹来判断PE文件的python代码

import os
    
    def is_pe_file(file_path):
        with open(file_path, 'rb') as f:
            # 读取DOS头的前两个字节，判断是否为MZ
            if f.read(2) != b'MZ':
                return False
            # 读取PE头的偏移量
            f.seek(0x3C)
            pe_offset = int.from_bytes(f.read(4), byteorder='little')  #int.from_bytes(bytes, byteorder)是一个Python内置函数，它将给定字节序列转换为一个整数。bytes参数是待转换的字节序列，byteorder参数指定了字节序，它可以是'little'或'big'，分别表示小端序和大端序。在Windows平台上，PE文件的字节序是小端序，因此我们使用'little'作为byteorder参数
          
            # 定位到PE头的位置
            f.seek(pe_offset)
            # 判断PE头的前两个字节是否为PE
            if f.read(2) != b'PE':
                return False
            return True
    
    # 示例用法
    file_path = 'test.exe'
    if is_pe_file(file_path):
        print(f"{
          file_path}是一个PE文件")
    else:
        print(f"{
          file_path}不是一个PE文件")

### PE结构大体 ###

![请添加图片描述][f1c62ef0003b4cc48c935194e55f41a9.png]

[e5cf41dce685484cbd2635cdf9b830bc.png]: https://img-blog.csdnimg.cn/e5cf41dce685484cbd2635cdf9b830bc.png
[e85e3782f16247dfa6c5db891a4ac59d.png]: https://img-blog.csdnimg.cn/e85e3782f16247dfa6c5db891a4ac59d.png
[f1c62ef0003b4cc48c935194e55f41a9.png]: https://img-blog.csdnimg.cn/f1c62ef0003b4cc48c935194e55f41a9.png