小甲鱼PE详解之IMAGE_NT_HEADERS结构定义即各个属性的作用（PE详解02）

短命女 2023-10-12 02:57 29阅读 0赞

PE Header 是PE相关结构NT映像头（IMAGE\_NT\_HEADER）的简称，里边包含着许多PE装载器用到的重要字段。下边小甲鱼将为大家详细讲解哈~

（视频教程：[http://fishc.com/a/shipin/jiemixilie/][http_fishc.com_a_shipin_jiemixilie]）

首先是IMAGE\_NT\_HEADERS 结构的定义：（啥？结构不会，先看看小甲鱼童鞋的[《零基础入门学习C语言》][C]关于结构方面的章节吧~）

IMAGE\_NT\_HEADERS STRUCT

\+0hDWORDSignature  //

\+4h  IMAGE\_FILE\_HEADER FileHeader //

\+18hIMAGE\_OPTIONAL\_HEADER32OptionalHeader   //

\} IMAGE\_NT\_HEADERS ENDS

Signature 字段：

在一个有效的 PE 文件里，Signature 字段被设置为00004550h, ASCII 码字符是“PE00”。标志这 PE 文件头的开始。

“PE00” 字符串是 PE 文件头的开始，DOS 头部的 e\_lfanew 字段正是指向这里。

如下图所示：

![0_1311141680I3Qt.gif][]

IMAGE\_FILE\_HEADER 结构

typedef struct _IMAGE_FILE_HEADER

{

+04hWORD  Machine;                              // 运行平台

+06h  WORD  NumberOfSections;// 文件的区块数目

+08hDWORD TimeDateStamp;// 文件创建日期和时间

+0Ch  DWORD PointerToSymbolTable;// 指向符号表(主要用于调试)

+10h DWORD NumberOfSymbols;// 符号表中符号个数(同上)

+14h  WORD  SizeOfOptionalHeader;// IMAGE_OPTIONAL_HEADER32 结构大小

+16h  WORD  Characteristics;// 文件属性

} IMAGE_FILE_HEADER,  *PIMAGE_FILE_HEADER;

该结构如下图所示：

下边，小甲鱼童鞋为大家详细解释各个成员的含义和用法：

（1）Machine：可执行文件的目标CPU类型。

<table style="border-collapse:collapse;border:1px solid #bbbbbb;width:617px;"> 
 <tbody> 
 <tr style="vertical-align:top;"> 
 <th style="font-weight:normal;border:1px solid #bbbbbb;font-family:'Segoe UI', Verdana, Arial;font-size:1.077em;"> Value</th> 
 <th style="font-weight:normal;border:1px solid #bbbbbb;font-family:'Segoe UI', Verdana, Arial;font-size:1.077em;"> Meaning</th> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> <a style="color:#333333;" rel="nofollow"></a> 
 <dl> 
 IMAGE_FILE_MACHINE_I386 
 0x014c &nbsp; 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> x86 </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> <a style="color:#333333;" rel="nofollow"></a> 
 <dl> 
 IMAGE_FILE_MACHINE_IA64 
 0x0200 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> Intel Itanium </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> <a style="color:#333333;" rel="nofollow"></a> 
 <dl> 
 IMAGE_FILE_MACHINE_AMD64 
 0x8664 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> x64 </td> 
 </tr> 
 </tbody> 
</table>

（2）NumberOfSection: 区块的数目。（注：区块表是紧跟在 IMAGE\_NT\_HEADERS 后边的）

（3）TimeDataStamp: 表明文件是何时被创建的。

这个值是自1970年1月1日以来用格林威治时间（GMT）计算的秒数，这个值是比文件系统（FILESYSTEM）的日期时间更加精确的指示器。如何将这个值翻译请看：[http://home.fishc.com/space.php?uid=9&do=blog&id=555][http_home.fishc.com_space.php_uid_9_do_blog_id_555]

提示：VC的话可以用\_ctime 函数或者 gmtime 函数。

（4）PointerToSymbolTable: COFF 符号表的文件偏移位置，现在基本没用了。

（5）NumberOfSymbols: 如果有COFF 符号表，它代表其中的符号数目，COFF符号是一个大小固定的结构，如果想找到COFF 符号表的结束位置，则需要这个变量。

（6）SizeOfOptionalHeader: 紧跟着IMAGE\_FILE\_HEADER 后边的数据结构（IMAGE\_OPTIONAL\_HEADER）的大小。(对于32位PE文件，这个值通常是00E0h；对于64位PE32+文件，这个值是00F0h )。

（7）Characteristics: 文件属性，有选择的通过几个值可以运算得到。( 这些标志的有效值是定义于 winnt.h 内的 IMAGE\_FILE\_\*\* 的值，具体含义见下表。普通的EXE文件这个字段的值一般是 0100h，DLL文件这个字段的值一般是 210Eh。)小甲鱼温馨提示：多种属性可以通过 “或运算” 使得同时拥有！

The characteristics of the image. This member can be one or more of the following values.

<table style="border-collapse:collapse;border-style:solid;border-width:1px;border-color:#575757 #575757 #575757 #bbbbbb;width:617px;"> 
 <tbody> 
 <tr style="vertical-align:top;"> 
 <th style="font-weight:normal;border:1px solid #bbbbbb;font-family:'Segoe UI', Verdana, Arial;font-size:1.077em;"> Value</th> 
 <th style="font-weight:normal;border:1px solid #bbbbbb;font-family:'Segoe UI', Verdana, Arial;font-size:1.077em;"> Meaning</th> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_RELOCS_STRIPPED &nbsp;&nbsp; 
 0x0001 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> Relocation information was stripped from the&nbsp; file.&nbsp;The file must be loaded at its preferred base address.&nbsp;If the base address is not&nbsp; available, the loader&nbsp;reports an error. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_EXECUTABLE_IMAGE 
 0x0002 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The file is executable (there are no unresolved&nbsp; external references). </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_LINE_NUMS_STRIPPED 
 0x0004 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> COFF line numbers were stripped from the&nbsp; file. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_LOCAL_SYMS_STRIPPED 
 0x0008 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> COFF symbol table entries were stripped from&nbsp; file. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_AGGRESIVE_WS_TRIM 
 0x0010 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> Aggressively trim the working set. This value is&nbsp; obsolete&nbsp;as of Windows 2000. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_LARGE_ADDRESS_AWARE 
 0x0020 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The application can handle addresses larger&nbsp; than 2 GB. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_BYTES_REVERSED_LO 
 0x0080 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The bytes of the word are reversed. This flag &nbsp;is obsolete. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_32BIT_MACHINE 
 0x0100 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The computer supports 32-bit words. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_DEBUG_STRIPPED 
 0x0200 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> Debugging information was removed and stored&nbsp; separately&nbsp;in another file. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP 
 0x0400 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> If the image is on removable media, copy it to and run it&nbsp;from the swap file. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_NET_RUN_FROM_SWAP 
 0x0800 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> If the image is on the network, copy it to and&nbsp; run it from&nbsp;the swap file. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_SYSTEM 
 0x1000 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The image is a system file. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_DLL 
 0x2000 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The image is a DLL file. While it is an executable &nbsp;file,&nbsp;it cannot be run directly. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_UP_SYSTEM_ONLY 
 0x4000 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The file should be run only on a uniprocessor &nbsp;computer. </td> 
 </tr> 
 <tr style="vertical-align:top;"> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> 
 <dl> 
 IMAGE_FILE_BYTES_REVERSED_HI 
 0x8000 
 </dl></td> 
 <td style="border:1px solid #bbbbbb;line-height:18px;"> The bytes of the word are reversed. This flag &nbsp;is obsolete. 
 <div> 
 
 </div> </td> 
 </tr> 
 </tbody> 
</table>

转载于:https://www.cnblogs.com/kuangke/p/5392890.html

[http_fishc.com_a_shipin_jiemixilie]: http://fishc.com/a/shipin/jiemixilie/
[C]: http://fishc.com/a/shipin/c/
[0_1311141680I3Qt.gif]: http://hi.csdn.net/attachment/201107/20/0_1311141680I3Qt.gif
[http_home.fishc.com_space.php_uid_9_do_blog_id_555]: http://home.fishc.com/space.php?uid=9&do=blog&id=555