其他分享
首页 > 其他分享> > PE文件解析_Dos头

PE文件解析_Dos头

作者:互联网

 Dos部分主要为现代PE文件可以对早期的DOS文件进行良好兼容存在,其对应结构体为IMAGE_DOS_HEADER,所在头文件为winnt.h

typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
    WORD   e_magic;                     // Magic number
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // File address of new exe header
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

各字段信息

1. e_magic字段:MS-DOS可执行文件的标识位(也叫做魔数MZ),表示这是一个MS-DOS下的可执行文件。

2. e_cblp字段:在可执行页(页大小为512B)最后一页中的字节数。如果其值为0,则表示最后一页被全部占用(即有效值为0x200=512)。

3. e_cp字段:可执行文件中的页数(包括最后一页)。

4. e_crlc字段:DOS Sub中重定位项的数目,可能为0。

5. e_cparhdr字段:程序的数据起始于头部之后,此字段可以用来计算出相应的文件偏移(包括重定位项)。如果头部大小不是512B的倍数,一些操作系统或程序可能会执行失败。

6. e_minalloc字段:除了代码大小外最少需分配的内存段大小,如果无法分配相应内存,则程序将不能启动。

7. e_maxalloc字段:除了代码大小外最多分配的内存段大小。通常,操作系统会为程序保留所有剩余的常规内存,但是此字段会对此做出限制。

8. e_ss字段:用来初始化SS(堆栈段)以启动可执行文件。

9. e_sp字段:用来初始化SP(堆栈指针寄存器)的值。

10. e_csum字段:可执行文件的校验和(或直接置为0)。

11. e_ip字段:初始化与启动可执行文件相关的IP寄存器值(程序入口点)。

12. e_cs字段:初始化与启动可执行文件相关的CS段(与上一字段组成CS:IP)。

13. e_lfarlc字段:重定位表的偏移。

14. e_ovno字段:代码附加数(为0x0则代表仅有主程序)。

15. e_res[4]字段:保留4个WORD大小的空间留作他用。

16. e_oemid字段:OEM厂商的ID。

17. e_oeminfo字段:OEM厂商的信息。

18. e_res2[10]字段:保留10个WORD大小的空间留作他用。

19. e_lfanew字段:PE头偏移地址。

我们主要记住两个重要字段就可以:e_magic字段和 e_lfanew字段

以下是我解析某exe文件的截图例子及运行结果

#include <iostream>
#include "windows.h"
using namespace std;

//#include "winnt.h"
int main()
{
   HANDLE hFile= CreateFileW(L"E:\\QQ\\Bin\\QQScLauncher.exe", GENERIC_READ,
        FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL,0);
   DWORD FileSize = GetFileSize(hFile, NULL);
   char* FileBuff = new char[FileSize];
   DWORD realRead = 0;
   if (ReadFile(hFile, FileBuff, FileSize, &realRead, 0))
   {
      PIMAGE_DOS_HEADER Dos_Head = (PIMAGE_DOS_HEADER)FileBuff;
      // PIMAGE_DOS_HEADER Dos_Head=new PIMAGE_DOS_HEADER(0);
       //memcpy(Dos_Head, FileBuff, sizeof(IMAGE_DOS_HEADER));
      cout << sizeof(IMAGE_DOS_HEADER)<<endl;
       if (Dos_Head->e_magic == 0x5A4D)
       {  
           cout << "QQScLauncher.exe是有效的pe文件" << endl;
       }
       else
       { 
           cout << "QQScLauncher.exe不是有效的pe文件" << endl;
       }
      
       cout << Dos_Head->e_lfanew;
   }   
    CloseHandle(hFile);
   //delete FileBuff;  
    return 0;
}

 

标签:可执行文件,WORD,PE,HEADER,字段,PIMAGE,DOS,Dos,解析
来源: https://blog.csdn.net/qq_50052051/article/details/122013354