逆向基础：扩展PE头属性说明

    typedef struct _IMAGE_NT_HEADERS64 {
      DWORD Signature;
      IMAGE_FILE_HEADER FileHeader;
      IMAGE_OPTIONAL_HEADER64 OptionalHeader;
    } IMAGE_NT_HEADERS64,*PIMAGE_NT_HEADERS64;

    typedef struct _IMAGE_NT_HEADERS {
      DWORD Signature;
      IMAGE_FILE_HEADER FileHeader;
      IMAGE_OPTIONAL_HEADER32 OptionalHeader;
    } IMAGE_NT_HEADERS32,*PIMAGE_NT_HEADERS32;

typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;//运行平台
    WORD    NumberOfSections;//PE文件中节的数量
    DWORD   TimeDateStamp;//文件创建时间和日期
    DWORD   PointerToSymbolTable;//指向符合表（用于调试）
    DWORD   NumberOfSymbols;//符合表中符号数量（用于调试）
    WORD    SizeOfOptionalHeader;//扩展头结构的长度
    WORD    Characteristics;//文件属性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

 typedef struct _IMAGE_OPTIONAL_HEADER {
    //
    // Standard fields.
    //

    WORD    Magic;//魔术字
    BYTE    MajorLinkerVersion;//连接器版本号
    BYTE    MinorLinkerVersion;
    DWORD   SizeOfCode;  //所有含代码节的总大小
    DWORD   SizeOfInitializedData;//所有含已初始化数据的节的总大小
    DWORD   SizeOfUninitializedData;//所有含未初始化数据的节的大小
    DWORD   AddressOfEntryPoint;//程序执行入口RVA
    DWORD   BaseOfCode;//代码节的起始RVA
    DWORD   BaseOfData;//数据节的起始RVA

    //
    // NT additional fields.
    //

    DWORD   ImageBase; //程序的建议装载地址
    DWORD   SectionAlignment;//内存节的对齐粒度
    DWORD   FileAlignment;//文件中节的对齐粒度
    WORD    MajorOperatingSystemVersion;
    WORD    MinorOperatingSystemVersion;
    WORD    MajorImageVersion;
    WORD    MinorImageVersion;
    WORD    MajorSubsystemVersion;//操作系统版本号
    WORD    MinorSubsystemVersion;
    DWORD   Win32VersionValue;
    DWORD   SizeOfImage;//内存中PE镜像文件尺寸
    DWORD   SizeOfHeaders;
    DWORD   CheckSum;
    WORD    Subsystem;
    WORD    DllCharacteristics;//DLL文件特性
    DWORD   SizeOfStackReserve;
    DWORD   SizeOfStackCommit;
    DWORD   SizeOfHeapReserve;
    DWORD   SizeOfHeapCommit;
    DWORD   LoaderFlags;
    DWORD   NumberOfRvaAndSizes;//下面的数据目录结构的项目数量
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];//数据目录
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

程序入口地址：DWORD AddressOfEntryPoint;//程序执行入口RVA

这个程序入口地址是相对地址，要加上DWORD ImageBase; //程序的建议装载地址

不能让逆向分析人员轻易找到这个入口地址。

逆向基础：扩展PE头属性说明

猜你喜欢