当前位置： 首页 > news >正文

逆向之Windows PE结构

news 2026/2/7 14:07:41

写在前面

对于Windows
PE文件结构，个人认为还是非常有必要掌握和了解的，不管是在做逆向分析、免杀、病毒分析，脱壳加壳都是有着非常重要的技能。但是PE文件的学习又是一个非常枯燥过程，希望本文可以帮你有一个了解。

PE文件结构的基本介绍

先来大概说说什么是PE文件格式，PE(Portable
Executable)，也就是我们说的可执行文件，在Windows中exe,dll,sys,ocx文件都是PE文件格式。而PE文件结构就是所有的PE文件按照结构的方式组织是有规律的排列组成。
从整个PE件结构大概来分成2部分,PE头和PE体。PE头又存在MS-
DOS头和NT头(PE头)，PE体主要就是一些表结构构成,存放代码，数据，资源等。后面我们开始对这些信息进行逐一分析和讲解。

MS-DOS头

首先来看DOS头，DOS头位于整个PE文件的首位部分，是PE文件结构的第一个头，对于现在的系统来说，作用就是用来定位真正的PE头。在peview中可以看到对应IMAGE_DOS_HEADER和MS-
DOS Stub Program，IMAGE_DEBUG_TYPE这里可以忽略，是调试类型，对应debug和relese。
图片.png
在二进制中查看，以4D 5A开头,十六进制转ASCII码就是MZ，是MS-DOS设计者名字缩写
image
在010
editor或者peview中，可以看到header占位在00000000-0000003C,而整个大小是64字节，额外需要注意的字节顺序，以小尾方式存在。
image
来看具体的IMAGE_DOS_HEADER是在winnt.h中定义，对于我们来说，我们只关心两个参数，e_magic是程序的头指纹和e_lfanew是指向真正PE头偏移地址。
image
这里我们可以尝试修改上面程序，将除了e_magic和e_lfanew对应的地址全部修改成0,可以看到程序还是可以正常运行。所以有用的数据只占6个字节（e_magic为WORD型占2个字节，e_lfanew为DWORD型占4个字节）
image
image
MS-DOS stub Program是DOS头的代码块，告诉用户程序不能在DOS下运行。
image

NT头(PE头)

PE头以50 45 00 00 开头,也就是PE…
image
来看下PE头结构IMAGE_NT_HEADERS，包括3个部分，Signature,IMAGE_FILE_HEADER,IMAGE_OPTIONAL_HEADER32(或64)，而PE…就是Signature字段，这个字段是PE文件标准特征，是不能进行修改的，强行修改后程序无法正常运行。
image
IMAGE_FILE_HEADER共20字节，其中重要有4个部分，从010editor中可以看到Machine,NumberOfSections,TimeDateStamp,Characteristics这4个部分是最重要的。
image
image

Machine

共4个字节头两个字节表示机器类型，用于标识CPU的类型，后两个字节表示CPU为Intel
386或后继处理器及其兼容处理器。具体机器类型的值可以在010中自行查看。
image

NumberOfSections

表示节的数目,这里的节的数目指的就是区段表的数量，这里我们显示5，说明有个区段表数。
image

也可以利用lordpe查看区段表。
image

TimeDateStamp

为时间戳，也就是PE文件创建的时间。

Characteristics

文件属性的标志，共15个常用属性标志，每个bit都有不同含义，如下在010中可以看到:
我们从上往下进行看：
IMAGE_FILE_RELOCS_STRIPPED:为1表示文件中没有重定向信息
IMAGE_FILE_EXECUTABLE_IMAGE:为1表示该文件是可执行文件
IMAGE_FILE_LINE_NUMS_STRIPPED:为1表示文件中不存在行信息
IMAGE_FILE_LOCAL_SYMS_STRIPPED:为1表示没有局部符号信息
IMAGE_FILE_AGGRESIVE_WS_TRIM:表示调整工作集
IMAGE_FILE_LARGE_ADDRESS_AWARE:为1表示程序能处理大于2G的地址
IMAGE_FILE_BYTES_REVERSED_LO:小尾方式
IMAGE_FILE_32BIT_MACHINE:为1只在32位平台上运行
IMAGE_FILE_DEBUG_STRIPPED:为1不包含调试信息
IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP:为1不能从可移动盘运行
IMAGE_FILE_NET_RUN_FROM_SWAP:为1不能从网络运行
IMAGE_FILE_SYSTEM:为1表示文件为系统文件而不是程序
IMAGE_FILE_DLL:为1表示是一个dll文件
IMAGE_FILE_UP_SYSTEM_ONLY:为1表示文件只能运行于单处理器机器上
IMAGE_FILE_BYTES_REVERSED_HI:大尾方式
image

再来看看PE头下的可选头IMAGE_OPTIONAL_HEADER,它是PE头部重要的部分，之所以被称为可选头是指该结构体的部分数据在不同文件中是不同的。
image

同样，对照010中对不同的PE文件可进行分析查看修改。
image

节表

PE文件所有的节属性都定义节表中，节表是由IMAGE_SECTION_HEADER结构排列而组成的，且节表的位置在MS-DOS+PE头下面。
image

IMAGE_SECTION_HEADER结构
image

对于上面的字段来说，我们来说一说重要的的字段。在说字段前，再把三个地址概念复习下,后面会具体说地址转换计算。
1.VA：VirtualAddress虚拟内存地址，范围00000000h - 0fffffffh，就是进程的基地址 + RVA相对虚拟内存地址。 2.RVA：相对虚拟内存地址。 是PE文件中的数据、模块等运行在内存中的实际地址相对PE文件装载到内存的基址之间的距离。如果PE文件装入虚拟地址(VA)空间的400000h处，且进程从虚址401000h开始执行，我们可以说进程执行起始地址在RVA 1000h。 3.FOA：文件偏移地址，文件头的偏移地址。

NAME

8个字节ASCII的名称，必须要8个字节，不够可以用null值来填充，这里的名称可以自己起也可以编译器来定义。
image

VirtualSize

对应表的区块的大小，这是区块的数据在没有进行对齐处理前的实际大小，通俗的来说就是节的数据真实大小。

VirtualAddress

该区块装载到内存中的RVA 地址。

SizeOfRawData

文件偏移量（文件大小）

PointerToRawData

指出节在磁盘文件中所处的位置。这个数值是从文件头开始算起的偏移量。

Characteristics

节的属性，可读写等。

地址转换

前面说到三个地址，学习地址转化可以对程序的一些功能修改或添加，地址转化非常重要，后面的加密，对壳的操作，对感染性病毒修复都非常关键。
还是以前面的程序节表来看。
image

我们来计算hello world!字符串偏移地址。
image

首先可以看到字符串起始位置是983006，结束在983011。
image

计算过程：

1.通过VA转RVA
用起始位置-程序入口地址，程序入口地址980000,也就是
983006-980000 = 3006 RVA地址
这里说明一点，计算是十六进制计算，后面都一样。

2.找RVA所在的节
可以看到3006是在.data0983000到0098400之间，所以所属的节是.data
image
3.计算.data节起始的RVA和起始的FOA的差值
3000-A00=2600

4.通过RVA减去差值
3006-2600 = A06
用010打开exe程序，可以看到字段起始和我们计算出来的一致
image

在lordpe中直接算偏移量,可以看到和我们算出的一致。
image

添加节，给程序做入口弹框

对于加壳保护，病毒来说，一般情况下都会添加节，会将可执行程序保护的代码或者将病毒代码写在新添加的节中。
步骤：1.增加节表项；2.修正文件的映像程度；3.修正一个节的数量；4.增加文件的节数据。

以PEview程序为例，添加一个弹框。
用lordpe打开程序，首先看到区段表数量是5
image
选择一个表名称，右键-添加区段
image

将所有的地址记下来
00015000 00000000 00010A00 00000000 E00000E0
对于不清楚含义的可以再回头看看
image

先将映射入内存后的长度（虚拟大小）改为1000，将磁盘文件中的长度（物理大小）改为200
image

在区段标志（节属性）中，将可写和初始化去掉，节属性变成60000020。
image

字节大小转换：
前面我们插入200长度大小，为16进制，转换成10进制为512个字节
将程序使用010打开，在文件末尾添加512个字节，可以看到最末一个是109FF,109FF+1刚好是10A00
image

所以添加数据从最后一位插入512个字节数据
image

修正大小，前面将虚拟内存的大小修改为1000，镜像大小还是15000，发现程序是无法运行的
image

将镜像大小修正为16000
image

再次打开可以运行
image

接下来添加我们需要的程序。
反编译进行调试，发现程序入口的位置是00401000，再往下走程序就运行了。
image

前面我们说过程序的入口是imagebase（基地址）+entrypoint（入口点）组成，我们回头再验证一下，加起来为00401000一致。
image

所以需要程序从我们给添加的节开始执行，我们添加的节是00015000，所以需要让入口点修改为我们的节地址。新的入口点00415000。
image

选定00415020，右键转储跟随选定的地址。
image

编辑内容，同样在00415030出编辑内容。
image

在程序入口处00415000写入弹框
image

然后再入口处F8单步调试，发现成功弹框。
image

然后还没有成功，这里只是弹框，没有打开我们PEview主程序，还需要进行跳转，跳转的位置就是最开始的00401000这个位置，jmp
00401000,然后步入，可以发现主程序打开。
image

接着保存数据，修改的数据全部选中，右键复制到可执行文件
image

右键保存文件
image
就完成了通过添加节，添加一个弹框案例。

后记

WindosPE文件结构还有几个节表本次没有涉及到，后面可以自行了解。对于逆向来说，PE文件结构是基础中的基础，不仅要对汇编熟悉，还要懂得调试程序，后面我会讲讲脱壳加壳的内容。大家一起努力吧！

后记

WindosPE文件结构还有几个节表本次没有涉及到，后面可以自行了解。对于逆向来说，PE文件结构是基础中的基础，不仅要对汇编熟悉，还要懂得调试程序，后面我会讲讲脱壳加壳的内容。大家一起努力吧！

##最后
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：


当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

因篇幅有限，仅展示部分资料，有需要的小伙伴，可以【扫下方二维码】免费领取：

相关文章：

逆向之Windows PE结构

写在前面 对于Windows PE文件结构，个人认为还是非常有必要掌握和了解的，不管是在做逆向分析、免杀、病毒分析，脱壳加壳都是有着非常重要的技能。但是PE文件的学习又是一个非常枯燥过程，希望本文可以帮你有一个了解。 PE文件结构…...

编程日记 2023/2/26 1:48:25

ACL是什么

目录 一、ACL是什么 二、ACL的使用：setacl与getacl 1）针对特定使用者的方式： 1. 创建acl_test1后设置其权限 2. 读取acl_test1的权限 2）针对特定群组的方式： 3）针对有效权限 mask 的设置方式&#xf…...

编程日记 2023/2/26 1:47:16

操作系统核心知识点整理--内存篇

操作系统核心知识点整理--内存篇按段对内存进行管理内存分区内存分页为什么需要多级页表TLB解决了多级页表什么样的缺陷?TLB缓存命中率高的原理是什么?段页结合: 为什么需要虚拟内存？虚拟地址到物理地址的转换过程段页式管理下程序如何载入内存？页面置…...

编程日记 2023/2/26 1:46:09

从零开始学习iftop流量监控（找出服务器耗费流量最多的ip和端口）

一、iftop是什么iftop是类似于top的实时流量监控工具。作用&#xff1a;监控网卡的实时流量&#xff08;可以指定网段&#xff09;、反向解析IP、显示端口信息等官网&#xff1a;http://www.ex-parrot.com/~pdw/iftop/二、界面说明>代表发送数据&#xff0c;< 代表接收数…...

编程日记 2023/2/26 1:45:00

第一篇博客------自我介绍篇

目录&#x1f506;自我介绍&#x1f506;学习目标&#x1f506;如何学习单片机Part 1 基础理论知识学习Part 2 单片机实践Part 3 单片机硬件设计&#x1f506;希望进入的公司&#x1f506;结束语&#x1f506;自我介绍 Hello!!!我是一名即已经步入大二的计算机小白。 --------…...

编程日记 2023/2/26 1:43:51

No suitable device found for this connection (device lo not available（网络突然出问题）

当执行 ifup ens33 出现错误&#xff1a;[rootlocalhost ~]# ifup ens33Error: Connection activation failed: No suitable device found for this connection (device lo not available because device is strictly unmanaged).1解决办法&#xff1a;[rootlocalhost ~]# chkc…...

编程日记 2023/2/26 1:42:43

【算法设计技巧】分治算法

分治算法 用于设计算法的另一种常用技巧为分治算法(divide and conquer)。分治算法由两部分组成&#xff1a; 分(divide)&#xff1a;递归解决较小的问题(当然&#xff0c;基准情况除外)治(conquer)&#xff1a;然后&#xff0c;从子问题的解构建原问题的解。 传统上&#x…...

编程日记 2023/2/26 1:41:35

已解决kettle新建作业，点击保存抛出异常Invalid state, the Connection object is closed.

已解决kettle新建作业&#xff0c;点击保存进资源数据库抛出异常Invalid state, the Connection object is closed.的解决方法&#xff0c;亲测有效&#xff01;&#xff01;&#xff01; 文章目录报错问题报错翻译报错原因解决方法联系博主免费帮忙解决报错报错问题 一个小伙伴…...

编程日记 2023/2/26 1:40:28

【设计模式】 工厂模式介绍及C代码实现

【设计模式】 工厂模式介绍及C代码实现 背景 在软件系统中&#xff0c;经常面临着创建对象的工作&#xff1b;由于需求的变化&#xff0c;需要创建的对象的具体类型经常变化。 如何应对这种变化&#xff1f;如何绕过常规的对象创建方法(new)&#xff0c;提供一种“封装机制”来…...

编程日记 2023/2/26 1:39:21

深入浅出PaddlePaddle函数——paddle.arange

分类目录&#xff1a;《深入浅出PaddlePaddle函数》总目录 相关文章&#xff1a; 深入浅出TensorFlow2函数——tf.range 深入浅出Pytorch函数——torch.arange 深入浅出PaddlePaddle函数——paddle.arange 语法 paddle.arange(start0, endNone, step1, dtypeNone, nameNone…...

编程日记 2023/2/26 1:38:07

X86 ATT常用寄存器及其操作指令

X86 AT&T常用寄存器及其操作指令 常用寄存器 esp寄存器&#xff1a;当我们需要访问堆栈帧中的变量时&#xff0c;可以使用esp寄存器来获取堆栈帧的基址&#xff0c;以便能够正确地访问堆栈帧中的变量。ebp寄存器&#xff1a;当我们需要调用一个函数时&#xff0c;可以使用…...

编程日记 2023/2/26 1:36:59

Kotlin 高端玩法之DSL

如何在 kotlin 优雅的封装匿名内部类&#xff08;DSL、高阶函数&#xff09;匿名内部类在 Java 中是经常用到的一个特性&#xff0c;例如在 Android 开发中的各种 Listener&#xff0c;使用时也很简单&#xff0c;比如&#xff1a;//lambda button.setOnClickListener(v -> …...

编程日记 2023/2/26 1:35:53

理光M2701复印机载体初始化方法

理光M2701基本参数&#xff1a; 产品类型&#xff1a;数码复合机 颜色类型&#xff1a;黑白 复印速度&#xff1a;单面&#xff1a;27cpm 双面&#xff1a;16cpm 涵盖功能&#xff1a;复印、打印、扫描 网络功能&#xff1a;支持无线、有线网络打印 接口类型&#xff1a;USB2.0…...

编程日记 2023/2/26 1:34:45

2.25Maven的安装与配置

一.Mavenmaven是一个Java世界中,非常知名的"工程管理工具"/构建工具"核心功能:1.管理依赖在进行一个A 操作之前,要先进行一个B操作.依赖有的时候是很复杂的,而且是嵌套的2.构建/编译(也是在调用jdk)3. 打包把java代码给构建成jar或者warjar就是一个特殊的压缩包…...

编程日记 2023/2/26 1:33:26

《英雄编程体验课》第 12 课 | 递归

文章目录 零、写在前面一、搜索算法的原理二、深度优先搜索三、基于DFS的记忆化搜索四、基于DFS的剪枝五、基于DFS的A*（迭代加深，IDA*）零、写在前面 该章节节选自 《夜深人静写算法》，主要讲解最基础的搜索算法，其中用到的思想就是递归，当然，如果已经对本套体验课了如指…...

编程日记 2023/2/26 1:32:15

35测试不如狗？是你自己技术不够的怨怼罢了

一、做软件测试怎么样&#xff1f; 引用著名软件测试专家、清华大学郑人杰教授的说法&#xff1a;软件测试工程师是一个越老越吃香的职业。 其中就表达了软件测试工作相对稳定、对年龄没有限制、而且随着项目经验的不断增长和对行业背景的深入了解&#xff0c;会越老越吃香。…...

编程日记 2023/2/26 1:31:06

【代码训练营】day42 | 1049. 最后一块石头的重量 II 494. 目标和 474.一和零

所用代码 java 最后一块石头的重量II LeetCode 1049 题目链接&#xff1a;最后一块石头的重量II LeetCode 1049 - 中等 思路 无。 把石头分成重量总和近似两堆&#xff0c;然后两堆石头相撞&#xff0c;剩下的就是最小的石头。每个石头只能用一次&#xff0c;01背包&#xf…...

编程日记 2023/2/26 1:29:59

Golang协程常见面试题

协程面试题交替打印奇数和偶数N个协程打印1到maxVal交替打印字符和数字交替打印字符串三个协程打印ABCChannel练习交替打印奇数和偶数 下面让我们一起来看看golang当中常见的算法面试题 使用两个goroutine交替打印1-100之间的奇数和偶数, 输出时按照从小到大输出. 方法一&…...

编程日记 2023/2/26 1:28:44

种群多样性：智能优化算法求解基准测试函数F1-F23种群动态变化图（视频）

智能优化算法求解基准测试函数F1种群动态变化图智能优化算法求解基准测试函数F2种群动态变化图智能优化算法求解基准测试函数F3种群动态变化图智能优化算法求解基准测试函数F4种群动态变化图智能优化算法求解基准测试函数F5种群动态变化图智能优化算法求解基准测试函数F6种群动…...

编程日记 2023/2/26 1:27:27

Qt 中的XML

XML的基本介绍&#xff1a; 在前端开发中&#xff1a;HTML是用来显示数据&#xff0c;而XML是用来传输和存储数据的 XML 指可扩展标记语言&#xff08;EXtensible Markup Language&#xff09;XML 是一种标记语言&#xff0c;很类似 HTMLXML 的设计宗旨是传输数据&#xff0c;而…...

编程日记 2023/2/26 1:26:19

【Oracle APEX开发小技巧12】

有如下需求&#xff1a; 有一个问题反馈页面&#xff0c;要实现在apex页面展示能直观看到反馈时间超过7天未处理的数据&#xff0c;方便管理员及时处理反馈。 我的方法&#xff1a;直接将逻辑写在SQL中&#xff0c;这样可以直接在页面展示 完整代码&#xff1a; SELECTSF.FE…...

编程新知 2026/1/31 12:19:33

DockerHub与私有镜像仓库在容器化中的应用与管理

哈喽&#xff0c;大家好&#xff0c;我是左手python&#xff01; Docker Hub的应用与管理 Docker Hub的基本概念与使用方法 Docker Hub是Docker官方提供的一个公共镜像仓库&#xff0c;用户可以在其中找到各种操作系统、软件和应用的镜像。开发者可以通过Docker Hub轻松获取所…...

编程新知 2025/10/8 10:56:25

剑指offer20_链表中环的入口节点

链表中环的入口节点 给定一个链表&#xff0c;若其中包含环&#xff0c;则输出环的入口节点。 若其中不包含环&#xff0c;则输出null。 数据范围 节点 val 值取值范围 [ 1 , 1000 ] [1,1000] [1,1000]。 节点 val 值各不相同。 链表长度 [ 0 , 500 ] [0,500] [0,500]。 …...

编程新知 2026/1/31 6:09:22

Cinnamon修改面板小工具图标

Cinnamon开始菜单-CSDN博客 设置模块都是做好的&#xff0c;比GNOME简单得多&#xff01; 在 applet.js 里增加 const Settings imports.ui.settings;this.settings new Settings.AppletSettings(this, HTYMenusonichy, instance_id); this.settings.bind(menu-icon, menu…...

编程新知 2026/1/31 14:56:22

反射获取方法和属性

Java反射获取方法 在Java中&#xff0c;反射&#xff08;Reflection&#xff09;是一种强大的机制&#xff0c;允许程序在运行时访问和操作类的内部属性和方法。通过反射&#xff0c;可以动态地创建对象、调用方法、改变属性值&#xff0c;这在很多Java框架中如Spring和Hiberna…...

编程新知 2025/11/9 2:57:17

【Zephyr 系列 10】实战项目：打造一个蓝牙传感器终端 + 网关系统（完整架构与全栈实现）

🧠关键词：Zephyr、BLE、终端、网关、广播、连接、传感器、数据采集、低功耗、系统集成 📌目标读者：希望基于 Zephyr 构建 BLE 系统架构、实现终端与网关协作、具备产品交付能力的开发者 📊篇幅字数：约 5200 字 ✨ 项目总览 在物联网实际项目中，**“终端 + 网关”**是…...

编程新知 2026/1/31 6:12:22

相机Camera日志分析之三十一：高通Camx HAL十种流程基础分析关键字汇总（后续持续更新中）

【关注我，后续持续新增专题博文，谢谢！！！】 上一篇我们讲了：有对最普通的场景进行各个日志注释讲解，但相机场景太多，日志差异也巨大。后面将展示各种场景下的日志。 通过notepad++打开场景下的日志，通过下列分类关键字搜索，即可清晰的分析不同场景的相机运行流程差异…...

编程新知 2025/11/20 7:13:43

听写流程自动化实践，轻量级教育辅助

随着智能教育工具的发展&#xff0c;越来越多的传统学习方式正在被数字化、自动化所优化。听写作为语文、英语等学科中重要的基础训练形式&#xff0c;也迎来了更高效的解决方案。 这是一款轻量但功能强大的听写辅助工具。它是基于本地词库与可选在线语音引擎构建&#xff0c;…...

编程新知 2026/1/30 1:47:17

【C++特殊工具与技术】优化内存分配(一)：C++中的内存分配

目录 一、C 内存的基本概念​ 1.1 内存的物理与逻辑结构​ 1.2 C 程序的内存区域划分​ 二、栈内存分配​ 2.1 栈内存的特点​ 2.2 栈内存分配示例​ 三、堆内存分配​ 3.1 new和delete操作符​ 4.2 内存泄漏与悬空指针问题​ 4.3 new和delete的重载​ 四、智能指针…...

编程新知 2026/1/31 6:12:22

第7篇：中间件全链路监控与 SQL 性能分析实践

7.1 章节导读 在构建数据库中间件的过程中&#xff0c;可观测性 和 性能分析 是保障系统稳定性与可维护性的核心能力。 特别是在复杂分布式场景中&#xff0c;必须做到&#xff1a; &#x1f50d; 追踪每一条 SQL 的生命周期&#xff08;从入口到数据库执行&#xff09;&#…...

编程新知 2025/12/11 0:27:15