【文章內容簡介】 ILE_HEADER結構,就從它后面開始。從上到下描述其成員。第1：Machine,16位值，指明可執(zhí)行文件所需要的系統(tǒng)。已知合法值如下：IMAGE_FILE_MACHINE_I3860x014cIntel80386處理器。0x014dIntel80486處理器0x014ePentium處理器0x0160R3000(MIPS)處理器IMAGE_FILE_MACHINE_R3000(0x162)R3000(MIPS)處理器IMAGE_FILE_MACHINE_R4000(0x166)R4000(MIPS)處理器IMAGE_FILE_MACHINE_R10000(0x168)R10000(MIPS)處理器IMAGE_FILE_MACHINE_ALPHA(0x184)DECAlphaAXP處理器IMAGE_FILE_MACHINE_POWERPC(0x1F0)IBMPowerPC處理器第2：NumberOfSections,16位值，它是跟隨于頭后面的節(jié)數(shù)。我們在后面討論。第3：TimeDateStamp，32位值,文件創(chuàng)建的時間?？梢酝ㄟ^該值區(qū)分不同的文件版本。時間戳用于綁定輸入目錄，后面講到。有些連接器設置該值為荒唐的值。第3：PointerToSymbolTable和NumberOfSymbols，都是32位的。用于調試信息。一般都是0。第4：SizeOfOptionalHeader，16位。第5：Characteristics，16位值，包括一個標志集合，多數(shù)只對目標文件和庫有效。Bit0(IMAGE_FILE_RELOCS_STRIPPED)如果文件內沒有重定位信息該位置1。這里指的是每個節(jié)內的重定位信息。不用于可執(zhí)行文件，可執(zhí)行文件的重定位信息在后面提到的baserelocation目錄。Bit1(IMAGE_FILE_EXECUTABLE_IMAGE)如果文件是可執(zhí)行的則置1，例如不是一個目標文件或者庫文件。如果連接器試圖創(chuàng)建可執(zhí)行文件，但由于某種原因失敗了，也置1。Bit2(IMAGE_FILE_LINE_NUMS_STRIPPED)如果行數(shù)信息剝離，置1，對可執(zhí)行文件無效。Bit3(IMAGE_FILE_LOCAL_SYMS_STRIPPED)如果沒有本地符號信息該位置1。對可執(zhí)行文件無效。Bit4(IMAGE_FILE_AGGRESIVE_WS_TRIM)如果操作系統(tǒng)被假定通過頁換出搶占式修剪進程的工作集（進程使用的內存數(shù)），該位置1。Bits7(IMAGE_FILE_BYTES_REVERSED_LO)和15(IMAGE_FILE_BYTES_REVERSED_HI)如果文件的的endianess不是機器期望的，則置1，于是讀之前必須交換字節(jié)。對可執(zhí)行文件不可靠。Bit8(IMAGE_FILE_32BIT_MACHINE)如果機器被期望是32位機器，置1。Bit9(IMAGE_FILE_DEBUG_STRIPPED)如果沒有調試信息在文件內，置1。對可執(zhí)行文件無效。Bit10(IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP)如果程序不能夠從可移動媒體比如軟盤或光驅，置1。操作系統(tǒng)建議拷貝文件到交換文件然后執(zhí)行。Bit11(IMAGE_FILE_NET_RUN_FROM_SWAP)如果不能夠才網絡運行，置1。操作系統(tǒng)建議拷貝文件到交換文件然后執(zhí)行。Bit12(IMAGE_FILE_SYSTEM)如果文件是類似驅動程序的系統(tǒng)文件，置1。對執(zhí)行文件無效。Bit13(IMAGE_FILE_DLL)如果文件是DLL，置1.Bit14(IMAGE_FILE_UP_SYSTEM_ONLY)如果文件不是為多處理器設計的，置1相對虛擬地址RelativeVirtualAddressesPE格式使用所謂的RVA。用于描述內存地址，如果你不知道基地址的話。需要你加上基地址得到線性地址?；刂肥荘E映像加載的地址。例如：假如可執(zhí)行文件加載到0x400000，可執(zhí)行文件的RVA是0x1560.,則執(zhí)行起始位置在0x101560.情況變的復雜起來，由于節(jié)不必按照加載的映像那樣對齊。例如，節(jié)一般按照512字節(jié)對齊。加載的映像可能按照4096字節(jié)對齊。參看39。SectionAlignment39。and39。FileAlignment39。對齊的意思就是地址值＝對齊長度的倍數(shù)。于是為了找到一個特殊的RVA指向的信息，你必須計算偏移量好象文件被加載一樣。假如知道執(zhí)行起點在RVA0x1560,想從這反匯編代碼。要找到文件內的地址，你必須找出在RAM內的按照4096對齊的節(jié)，.code節(jié)自內存RVA0x1000開始，16384字節(jié)長，你知道RVA，且.code從0x800開始，那么在文件內的代碼執(zhí)行起點是0x800+0x560=0xd60。然后反匯編，并給出優(yōu)先加載地址。你發(fā)現(xiàn)優(yōu)先加載地址是0x100000,于是我們處理RVA0x51d0.這是一個開始于RVA0x5000的數(shù)據(jù)區(qū)，2048字節(jié)長。+0x51d00x5000=0x49d0處發(fā)現(xiàn)?？蛇x頭OptionalHeader緊跟在文件頭的后面是IMAGE_OPTIONAL_HEADER，盡管名字是可選，實際一直存在。包含關于如何精確處理PE文件的信息。從上到下介紹成員。IMAGE_OPTIONAL_HEADER32STRUCTMagicWORD?MajorLinkerVersionBYTE?MinorLinkerVersionBYTE?SizeOfCodeDWORD?SizeOfInitializedDataDWORD?SizeOfUninitializedDataDWORD?AddressOfEntryPointDWORD?BaseOfCodeDWORD?BaseOfDataDWORD?ImageBaseDWORD?SectionAlignmentDWORD?FileAlignmentDWORD?MajorOperatingSystemVersionWORD?MinorOperatingSystemVersionWORD?MajorImageVersionWORD?MinorImageVersionWORD?MajorSubsystemVersionWORD?MinorSubsystemVersionWORD?Win32VersionValueDWORD?SizeOfImageDWORD?SizeOfHeadersDWORD?CheckSumDWORD?SubsystemWORD?DllCharacteristicsWORD?SizeOfStackReserveDWORD?SizeOfStackCommitDWORD?SizeOfHeapReserveDWORD?SizeOfHeapCommitDWORD?LoaderFlagsDWORD?NumberOfRvaAndSizesDWORD?DataDirectoryIMAGE_DATA_DIRECTORYIMAGE_NUMBEROF_DIRECTORY_ENTRIESdup()IMAGE_OPTIONAL_HEADER32ENDSIMAGE_OPTIONAL_HEADERequIMAGE_OPTIONAL_HEADER32第1個16位字是39。Magic39。，總是0x010b.下面2個字節(jié)是連接器的版本號39。MajorLinkerVersion39。和39。MinorLinkerVersion39。，這些值都不可靠，不能總是妥當?shù)姆从尺B接器版本。有些連接器不設置該域。下面3個longwords(32位)指定執(zhí)行代碼尺寸(39。SizeOfCode39。),初始化數(shù)據(jù)尺寸39。SizeOfInitializedData39。,所謂的數(shù)據(jù)段datasegment,未初始化數(shù)據(jù)尺寸39。SizeOfUninitializedData39。,所謂的bsssegment.這些數(shù)值也不可靠。(39。AddressOfEntryPoint39。).執(zhí)行從此開始。下面2個32位是可執(zhí)行代碼(39。BaseOfCode39。)和初始化數(shù)據(jù)(39。BaseOfData39。)的RVAs我們對它沒有興趣，因為可以通過節(jié)來查看更可靠的信息。非初始化數(shù)據(jù)沒有RVA。下面是一個32位值，ImageBase39。作為整個文件的優(yōu)先加載地址，包括所有頭在內。該值總是64KB的倍數(shù)，文件已經被連接器重定位，如果文件能夠真正加載到這個地址，加載器不必重定位文件。如果另一個映像已經被加載到那個地址，則優(yōu)先地址不可使用。這種情況下，映像被加載到其他地址，需要重定位。如果映像是DLL，還有更多結果，因為boundimports不再有效，需要對使用DLL的執(zhí)行文件進行修正。參見39。importdirectory39。下面2個32位是當映像文件加載后，PE文件的節(jié)在內存內的對齊，39。SectionAlignment39。,以及在文件內的對齊39。FileAlignment39。.一般文件對齊是512，節(jié)對齊是4096.下面2個16位的字是期望的操作系統(tǒng)版本，39。MajorOperatingSystemVersion39。和39。MinorOperatingSystemVersion39。下面2個16位的字是期望的可執(zhí)行文件版本，39。MajorImageVersion39。和39。MinorImageVersion39。.許多連接器不正確設置這些信息。下面2個16位的字是期望的子系統(tǒng)版本，39。MajorSubsystemVersion和MinorSubsystemVersion.這個必須是Win32版本或者POSIX版本。該版本需要正確提供，因為它被檢查并使用。如果程序是Win32GUI并運行在NT4,對話框不是3D效果。然后是Win32VersionValue，32位。大部分情況下是0。下面是32位的映像需要的內存數(shù)量39。SizeOfImage39。.是所有的頭和節(jié)的總和，如果節(jié)已經對齊。它是給加載器的線索，需要多少頁加載映像。下面一個是32位的所有頭的總和，包括數(shù)據(jù)目錄和節(jié)頭。39。SizeOfHeaders39。.它也是才文件開始到第一節(jié)的偏移量。然后是32位的校