PE文件解析_Dos头
作者：互联网
Dos部分主要为现代PE文件可以对早期的DOS文件进行良好兼容存在，其对应结构体为IMAGE_DOS_HEADER，所在头文件为winnt.h
typedef struct _IMAGE_DOS_HEADER { // DOS .EXE header
WORD e_magic; // Magic number
WORD e_cblp; // Bytes on last page of file
WORD e_cp; // Pages in file
WORD e_crlc; // Relocations
WORD e_cparhdr; // Size of header in paragraphs
WORD e_minalloc; // Minimum extra paragraphs needed
WORD e_maxalloc; // Maximum extra paragraphs needed
WORD e_ss; // Initial (relative) SS value
WORD e_sp; // Initial SP value
WORD e_csum; // Checksum
WORD e_ip; // Initial IP value
WORD e_cs; // Initial (relative) CS value
WORD e_lfarlc; // File address of relocation table
WORD e_ovno; // Overlay number
WORD e_res[4]; // Reserved words
WORD e_oemid; // OEM identifier (for e_oeminfo)
WORD e_oeminfo; // OEM information; e_oemid specific
WORD e_res2[10]; // Reserved words
LONG e_lfanew; // File address of new exe header
} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;
各字段信息：
1. e_magic字段：MS-DOS可执行文件的标识位（也叫做魔数MZ），表示这是一个MS-DOS下的可执行文件。
2. e_cblp字段：在可执行页（页大小为512B）最后一页中的字节数。如果其值为0，则表示最后一页被全部占用（即有效值为0x200=512）。
3. e_cp字段：可执行文件中的页数（包括最后一页）。
4. e_crlc字段：DOS Sub中重定位项的数目，可能为0。
5. e_cparhdr字段：程序的数据起始于头部之后，此字段可以用来计算出相应的文件偏移（包括重定位项）。如果头部大小不是512B的倍数，一些操作系统或程序可能会执行失败。
6. e_minalloc字段：除了代码大小外最少需分配的内存段大小，如果无法分配相应内存，则程序将不能启动。
7. e_maxalloc字段：除了代码大小外最多分配的内存段大小。通常，操作系统会为程序保留所有剩余的常规内存，但是此字段会对此做出限制。
8. e_ss字段：用来初始化SS（堆栈段）以启动可执行文件。
9. e_sp字段：用来初始化SP（堆栈指针寄存器）的值。
10. e_csum字段：可执行文件的校验和（或直接置为0）。
11. e_ip字段：初始化与启动可执行文件相关的IP寄存器值（程序入口点）。
12. e_cs字段：初始化与启动可执行文件相关的CS段（与上一字段组成CS:IP）。
13. e_lfarlc字段：重定位表的偏移。
14. e_ovno字段：代码附加数（为0x0则代表仅有主程序）。
15. e_res[4]字段：保留4个WORD大小的空间留作他用。
16. e_oemid字段：OEM厂商的ID。
17. e_oeminfo字段：OEM厂商的信息。
18. e_res2[10]字段：保留10个WORD大小的空间留作他用。
19. e_lfanew字段：PE头偏移地址。
我们主要记住两个重要字段就可以：e_magic字段和 e_lfanew字段
以下是我解析某exe文件的截图例子及运行结果：
#include <iostream>
#include "windows.h"
using namespace std;
//#include "winnt.h"
int main()
{
HANDLE hFile= CreateFileW(L"E:\\QQ\\Bin\\QQScLauncher.exe", GENERIC_READ,
FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL,0);
DWORD FileSize = GetFileSize(hFile, NULL);
char* FileBuff = new char[FileSize];
DWORD realRead = 0;
if (ReadFile(hFile, FileBuff, FileSize, &realRead, 0))
{
PIMAGE_DOS_HEADER Dos_Head = (PIMAGE_DOS_HEADER)FileBuff;
// PIMAGE_DOS_HEADER Dos_Head=new PIMAGE_DOS_HEADER(0);
//memcpy(Dos_Head, FileBuff, sizeof(IMAGE_DOS_HEADER));
cout << sizeof(IMAGE_DOS_HEADER)<<endl;
if (Dos_Head->e_magic == 0x5A4D)
{
cout << "QQScLauncher.exe是有效的pe文件" << endl;
}
else
{
cout << "QQScLauncher.exe不是有效的pe文件" << endl;
}
cout << Dos_Head->e_lfanew;
}
CloseHandle(hFile);
//delete FileBuff;
return 0;
}
标签：可执行文件,WORD,PE,HEADER,字段,PIMAGE,DOS,Dos,解析 来源： https://blog.csdn.net/qq_50052051/article/details/122013354