2. 程式人生 > >PE檔案格式詳解(0)

PE檔案格式詳解(0)

阿新 • • 發佈：2019-02-08
0.介紹  PE是Windows作業系統性愛使用的可執行檔案格式。它是微軟在UNIX平臺的COFF（Common Object File Format,通用物件格式）基礎上而成的（在Windows開發環境中，PE格式也稱為PE/COFF格式。）。最初（正如Portable這個單詞所代表的那樣）設計用來提高程式在不同作業系統上的移植性，但實際上這種檔案格式僅使用在Windows系列的作業系統。     PE檔案是指32位的可執行檔案，也稱為PE32。64位的可執行檔案稱為PE+或PE32+，是PE（PE32）的一種擴充套件形式（注意不是PE64）。 事實上，一個檔案是否是PE檔案與其副檔名無關，即表明PE檔案可以是任何副檔名。
1.PE檔案格式 PE檔案格式種類：    可執行系列：EXE/SCR    驅動程式系列：SYS/VXD    庫系列：DLL/OCX/CPL/DRV    物件檔案系列：OBJ 注：嚴格來講，OBJ（物件）檔案之外的所有檔案都是可執行的。DLL/SYS檔案等雖然不能直接在Shell（Explorer.exe)中執行，但可以使用其他方法（偵錯程式、服務等）執行。 2.基本結構 從DOS頭（DOS Header）到節區頭（Section Header）是PE頭部分，其下的節區合成PE體。檔案中使用偏移（offset），記憶體中使用VA（Vitual Address，虛擬地址）來表示位置。檔案載入到記憶體時，情況就會發生變化（節區的大小、位置等）。檔案的內容一般可分為程式碼（.text）、資料（.data）、資源（.rsrc）節，分別儲存。
注：有不同種開發工具（VB/VC++/...）與編譯選項，節區的名稱、大小、個數、儲存的內容都是不同的。它們根據不同的用途分類儲存到不同的節中。 各節區頭定義了各節區在檔案或記憶體中的大小、位置、屬性等。 PE頭與各節區的尾部存在一個區域，稱為NULL填充（NULL padding）。（PE檔案中檔案/記憶體中節區的起始位置應該在各檔案/記憶體最小單位的倍數位置之上，空白區域將用NULL填充。）
3.VA&RVA VA指的是程序虛擬記憶體的絕對地址，RVA(Relative Virtual Address,相對虛擬地址)指從某個基準位置（ImageBase）開始的相對地址。VA與RVA滿足下面的換算關係。
RVA+ImageBase=VA PE頭內部大多都以RVA形式存在，原因在於，PE檔案（主要是DLL）載入到程序虛擬記憶體的特定位置時，該位置可能已經載入了其他的PE檔案（DLL）。此時必須通過重定位將其載入到其他空白的位置，若PE頭資訊使用的是VA，則無法正常訪問。因此使用了RVA來定位資訊，即使發生了成定位，只要相對於基準位置的相對地址沒有變化，就能正常訪問到指定資訊，就不會出現任何問題。

相關推薦

PE檔案格式詳解(0)

0.介紹  PE是Windows作業系統性愛使用的可執行檔案格式。它是微軟在UNIX平臺的COFF（Common Object File Format,通用物件格式）基礎上而成的（在Windows

PE檔案格式詳解（六）

0x00 前言   前面兩篇講到了輸出表的內容以及涉及如何在hexWorkShop中找到輸出表及輸入DLL，感覺有幾個地方還是沒有理解好，比如由資料目錄表DataDirectory[16]找到輸出表表後以為找到輸入DLL就完了，其實這一流程的最終功能是通過輸入DLL找到輸入DLL呼叫的函

PE檔案格式詳解（五）

0x00 前言   前一篇瞭解了區塊虛擬地址和檔案地址轉換的相關知識，這一篇該把我們所學拿出來用用了。這篇我們將瞭解更為重要的一個知識點——輸入表和輸出表的知識。 0x01 輸入表   首先我們有疑問。這個輸入表是啥？為啥有輸入表？其實輸入表就是記錄PE輸入函式相

PE檔案格式詳解（四）

PE檔案格式詳解（四） 0x00 前言   上一篇介紹了區塊表的資訊，以及如何在hexwrokshop找到區塊表。接下來，我們繼續深入瞭解區塊，並且學會檔案偏移和虛擬地址轉換的知識。 0x01 區塊對齊值   首先我們要知道啥事區塊對齊？為啥要區塊對齊？這個問題

PE檔案格式詳解（一）

在本文中， 我並不打算大講特講PE檔案的構成是什麼，每個欄位是什麼意思， 這些資料可以說在網上是浩瀚如海，到處都是的， 用google一搜， 開啟一看， 基本講解的都是大同小異。 由於pe檔案的結構比較龐大， 結構中套結構， 有的結構多達30多個欄位， 光看這些欄位都讓人夠

PE檔案格式詳解(上)

Windows NT 3.1引入了一種名為PE檔案格式的新可執行檔案格式。PE檔案格式的規範包含在了MSDN的CD中（Specs and Strategy, Specifications, Windows NT File Format Specifications），

PE檔案格式詳解(1)

PE頭由許多結構體組成，接下來分別解釋一下各部分。 1.DOS頭 微軟最初建立PE格式的時候，DOS檔案被人們廣泛的使用，為了實現PE檔案對DOS檔案的相容性。結果是在PE頭的最前面添加了一個I

PE檔案格式詳解(2)

MS-DOS頭部/真實模式頭部 　　如上所述，PE檔案格式的第一個組成部分是MS-DOS頭部。在PE檔案格式中，它並非一個新概念，因為它與MS-DOS 2.0以來就已有的MS-DOS頭部是完全一樣的。保留這個相同結構的最主要原因是，當你嘗試在Windows 3.1以下或MS-

PE檔案格式詳解(4)

1.RVA to RAW     PE檔案載入到記憶體時，每個節區都要準確完成記憶體地址與檔案偏移的對映。這種對映便稱為RVA to RAW，實現這個過程需要經過以下的步驟。     1.查詢RVA所

PE檔案格式詳解(六)

匯出資料段，.edata 　　.edata段包含了應用程式或DLL的匯出資料。在這個段出現的時候，它會包含一個到達匯出資訊的匯出目錄。WINNT.Htypedef struct _IMAGE_EXPORT_DIRECTORY {  ULONG Characteristics

png檔案格式詳解【轉】

5.2.2  PNG影象檔案儲存結構（1） PNG檔案儲存結構的格式可以在http://www.w3.org/TR/REC-png.htm上找到定義。 BMP檔案總體上由兩部分組成，分別是PNG檔案標誌和資料塊（chunks），如表5-8所示。其中資料塊分為兩類：關鍵資料塊（cri

Class 檔案格式詳解

Class 檔案格式詳解 Write once, run everywhere!，我們都知道這是 Java 著名的宣傳口號。不同的作業系統，不同的 CPU 具有不同的指令集，如何做到平臺無關性，依靠的就是 Java 虛擬機器。計算機永遠只能識別 0 和 1組成的二進位制檔案，虛擬機器就是我們編寫的程式碼和計

PNG檔案格式詳解

                PNG檔案結構分析(上：瞭解PNG檔案儲存格式)前言我們都知道，在進行J2ME的手機應用程式開發的時候，在圖片的使用上，我們可以使用PNG格式的圖片（甚至於在有的手機上，我們只可以使用PNG格式的圖片），儘管使用圖片可以為我們的應用程式增加不少亮點，然而，只支援PNG格式的圖片

Android逆向之旅---SO(ELF)檔案格式詳解

第一、前言從今天開始我們正式開始Android的逆向之旅，關於逆向的相關知識，想必大家都不陌生了，逆向領域是一個充滿挑戰和神祕的領域。作為一名Android開發者，每個人都想去探索這個領域，因為一旦你破解了別人的內容，成就感肯定爆棚，不過相反的是，我們不僅要研究破解之道，也要

[一]class 檔案淺析 .class檔案格式詳解 欄位方法屬性常量池欄位 class檔案屬性表 資料型別 資料結構

ClassFile { u4 magic;//唯一作用是確定這個檔案是否為一個能被虛擬機器所接受的class檔案。魔數值固定為0xCAFEBABE，不會改變 u2 minor_version;//唯一作用是確定這個檔案是否為一個能被虛擬機器所接受的class檔案。魔數值固定為0xCAFEBABE，不會

s19檔案格式詳解

1.概述 為了在不同的計算機平臺之間傳輸程式程式碼和資料，摩托羅拉將程式和資料檔案以一種可列印的格式(ASCII格式)編碼成s格式檔案。s格式檔案是Freescale推薦使用的標準檔案傳送格式。編譯完成之後，FreescaleCodeWarrior編譯器將在bin資料夾下自動生成“*.abs.s19”檔案，

Linux下可執行檔案格式詳解

Linux下面，目標檔案、共享物件檔案、可執行檔案都是使用ELF檔案格式來儲存的。程式經過編譯之後會輸出目標檔案，然後經過連結可以產生可執行檔案或者共享物件檔案。Linux下面使用的ELF檔案和Windows作業系統使用的PE檔案都是從Unix系統的COFF檔案格式演化來的

TIFF影象檔案格式詳解(3)

基本TIFF TAGS 本頁主要摘自 http://www.awaresystems.be/imaging/tiff/tifftags/baseline.html。每一個TAG均有原始連結，可以點選檢視詳細的描述。 這些基本Tag是所有TIFF編解碼器必須支援的Tag

SAM檔案格式詳解

生物資訊上的東西，由於發展的時間不長，所以各種標準都不算是廣泛傳播。 尤其是檔案格式之類的，中文版的資料很少，不少英文版的說明也不是很清晰。 這裡對SAM格式進行一下解釋，希望對新人有所幫助。 如下是SAM檔案中的一行 FCC0YG3ACXX:2:1

GZIP壓縮原理分析（04）——第三章 gzip檔案格式詳解（三02） gzip檔案頭

檔案頭由固定長度的部分和擴充套件部分組成，擴充套件部分不一定存在，尤其是網路傳輸使用的HTTP壓縮，如果使用了gzip格式，那麼對應的壓縮報文一般都不帶擴充套件部分。gzip檔案格式通過將頭部中定長部