当前位置： 首页 > news >正文

逆向之Windows PE结构

news 2026/2/7 18:04:56

写在前面

对于Windows
PE文件结构，个人认为还是非常有必要掌握和了解的，不管是在做逆向分析、免杀、病毒分析，脱壳加壳都是有着非常重要的技能。但是PE文件的学习又是一个非常枯燥过程，希望本文可以帮你有一个了解。

PE文件结构的基本介绍

先来大概说说什么是PE文件格式，PE(Portable
Executable)，也就是我们说的可执行文件，在Windows中exe,dll,sys,ocx文件都是PE文件格式。而PE文件结构就是所有的PE文件按照结构的方式组织是有规律的排列组成。
从整个PE件结构大概来分成2部分,PE头和PE体。PE头又存在MS-
DOS头和NT头(PE头)，PE体主要就是一些表结构构成,存放代码，数据，资源等。后面我们开始对这些信息进行逐一分析和讲解。

MS-DOS头

首先来看DOS头，DOS头位于整个PE文件的首位部分，是PE文件结构的第一个头，对于现在的系统来说，作用就是用来定位真正的PE头。在peview中可以看到对应IMAGE_DOS_HEADER和MS-
DOS Stub Program，IMAGE_DEBUG_TYPE这里可以忽略，是调试类型，对应debug和relese。
图片.png
在二进制中查看，以4D 5A开头,十六进制转ASCII码就是MZ，是MS-DOS设计者名字缩写
image
在010
editor或者peview中，可以看到header占位在00000000-0000003C,而整个大小是64字节，额外需要注意的字节顺序，以小尾方式存在。
image
来看具体的IMAGE_DOS_HEADER是在winnt.h中定义，对于我们来说，我们只关心两个参数，e_magic是程序的头指纹和e_lfanew是指向真正PE头偏移地址。
image
这里我们可以尝试修改上面程序，将除了e_magic和e_lfanew对应的地址全部修改成0,可以看到程序还是可以正常运行。所以有用的数据只占6个字节（e_magic为WORD型占2个字节，e_lfanew为DWORD型占4个字节）
image
image
MS-DOS stub Program是DOS头的代码块，告诉用户程序不能在DOS下运行。
image

NT头(PE头)

PE头以50 45 00 00 开头,也就是PE…
image
来看下PE头结构IMAGE_NT_HEADERS，包括3个部分，Signature,IMAGE_FILE_HEADER,IMAGE_OPTIONAL_HEADER32(或64)，而PE…就是Signature字段，这个字段是PE文件标准特征，是不能进行修改的，强行修改后程序无法正常运行。
image
IMAGE_FILE_HEADER共20字节，其中重要有4个部分，从010editor中可以看到Machine,NumberOfSections,TimeDateStamp,Characteristics这4个部分是最重要的。
image
image

Machine

共4个字节头两个字节表示机器类型，用于标识CPU的类型，后两个字节表示CPU为Intel
386或后继处理器及其兼容处理器。具体机器类型的值可以在010中自行查看。
image

NumberOfSections

表示节的数目,这里的节的数目指的就是区段表的数量，这里我们显示5，说明有个区段表数。
image

也可以利用lordpe查看区段表。
image

TimeDateStamp

为时间戳，也就是PE文件创建的时间。

Characteristics

文件属性的标志，共15个常用属性标志，每个bit都有不同含义，如下在010中可以看到:
我们从上往下进行看：
IMAGE_FILE_RELOCS_STRIPPED:为1表示文件中没有重定向信息
IMAGE_FILE_EXECUTABLE_IMAGE:为1表示该文件是可执行文件
IMAGE_FILE_LINE_NUMS_STRIPPED:为1表示文件中不存在行信息
IMAGE_FILE_LOCAL_SYMS_STRIPPED:为1表示没有局部符号信息
IMAGE_FILE_AGGRESIVE_WS_TRIM:表示调整工作集
IMAGE_FILE_LARGE_ADDRESS_AWARE:为1表示程序能处理大于2G的地址
IMAGE_FILE_BYTES_REVERSED_LO:小尾方式
IMAGE_FILE_32BIT_MACHINE:为1只在32位平台上运行
IMAGE_FILE_DEBUG_STRIPPED:为1不包含调试信息
IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP:为1不能从可移动盘运行
IMAGE_FILE_NET_RUN_FROM_SWAP:为1不能从网络运行
IMAGE_FILE_SYSTEM:为1表示文件为系统文件而不是程序
IMAGE_FILE_DLL:为1表示是一个dll文件
IMAGE_FILE_UP_SYSTEM_ONLY:为1表示文件只能运行于单处理器机器上
IMAGE_FILE_BYTES_REVERSED_HI:大尾方式
image

再来看看PE头下的可选头IMAGE_OPTIONAL_HEADER,它是PE头部重要的部分，之所以被称为可选头是指该结构体的部分数据在不同文件中是不同的。
image

同样，对照010中对不同的PE文件可进行分析查看修改。
image

节表

PE文件所有的节属性都定义节表中，节表是由IMAGE_SECTION_HEADER结构排列而组成的，且节表的位置在MS-DOS+PE头下面。
image

IMAGE_SECTION_HEADER结构
image

对于上面的字段来说，我们来说一说重要的的字段。在说字段前，再把三个地址概念复习下,后面会具体说地址转换计算。
1.VA：VirtualAddress虚拟内存地址，范围00000000h - 0fffffffh，就是进程的基地址 + RVA相对虚拟内存地址。 2.RVA：相对虚拟内存地址。 是PE文件中的数据、模块等运行在内存中的实际地址相对PE文件装载到内存的基址之间的距离。如果PE文件装入虚拟地址(VA)空间的400000h处，且进程从虚址401000h开始执行，我们可以说进程执行起始地址在RVA 1000h。 3.FOA：文件偏移地址，文件头的偏移地址。

NAME

8个字节ASCII的名称，必须要8个字节，不够可以用null值来填充，这里的名称可以自己起也可以编译器来定义。
image

VirtualSize

对应表的区块的大小，这是区块的数据在没有进行对齐处理前的实际大小，通俗的来说就是节的数据真实大小。

VirtualAddress

该区块装载到内存中的RVA 地址。

SizeOfRawData

文件偏移量（文件大小）

PointerToRawData

指出节在磁盘文件中所处的位置。这个数值是从文件头开始算起的偏移量。

Characteristics

节的属性，可读写等。

地址转换

前面说到三个地址，学习地址转化可以对程序的一些功能修改或添加，地址转化非常重要，后面的加密，对壳的操作，对感染性病毒修复都非常关键。
还是以前面的程序节表来看。
image

我们来计算hello world!字符串偏移地址。
image

首先可以看到字符串起始位置是983006，结束在983011。
image

计算过程：

1.通过VA转RVA
用起始位置-程序入口地址，程序入口地址980000,也就是
983006-980000 = 3006 RVA地址
这里说明一点，计算是十六进制计算，后面都一样。

2.找RVA所在的节
可以看到3006是在.data0983000到0098400之间，所以所属的节是.data
image
3.计算.data节起始的RVA和起始的FOA的差值
3000-A00=2600

4.通过RVA减去差值
3006-2600 = A06
用010打开exe程序，可以看到字段起始和我们计算出来的一致
image

在lordpe中直接算偏移量,可以看到和我们算出的一致。
image

添加节，给程序做入口弹框

对于加壳保护，病毒来说，一般情况下都会添加节，会将可执行程序保护的代码或者将病毒代码写在新添加的节中。
步骤：1.增加节表项；2.修正文件的映像程度；3.修正一个节的数量；4.增加文件的节数据。

以PEview程序为例，添加一个弹框。
用lordpe打开程序，首先看到区段表数量是5
image
选择一个表名称，右键-添加区段
image

将所有的地址记下来
00015000 00000000 00010A00 00000000 E00000E0
对于不清楚含义的可以再回头看看
image

先将映射入内存后的长度（虚拟大小）改为1000，将磁盘文件中的长度（物理大小）改为200
image

在区段标志（节属性）中，将可写和初始化去掉，节属性变成60000020。
image

字节大小转换：
前面我们插入200长度大小，为16进制，转换成10进制为512个字节
将程序使用010打开，在文件末尾添加512个字节，可以看到最末一个是109FF,109FF+1刚好是10A00
image

所以添加数据从最后一位插入512个字节数据
image

修正大小，前面将虚拟内存的大小修改为1000，镜像大小还是15000，发现程序是无法运行的
image

将镜像大小修正为16000
image

再次打开可以运行
image

接下来添加我们需要的程序。
反编译进行调试，发现程序入口的位置是00401000，再往下走程序就运行了。
image

前面我们说过程序的入口是imagebase（基地址）+entrypoint（入口点）组成，我们回头再验证一下，加起来为00401000一致。
image

所以需要程序从我们给添加的节开始执行，我们添加的节是00015000，所以需要让入口点修改为我们的节地址。新的入口点00415000。
image

选定00415020，右键转储跟随选定的地址。
image

编辑内容，同样在00415030出编辑内容。
image

在程序入口处00415000写入弹框
image

然后再入口处F8单步调试，发现成功弹框。
image

然后还没有成功，这里只是弹框，没有打开我们PEview主程序，还需要进行跳转，跳转的位置就是最开始的00401000这个位置，jmp
00401000,然后步入，可以发现主程序打开。
image

接着保存数据，修改的数据全部选中，右键复制到可执行文件
image

右键保存文件
image
就完成了通过添加节，添加一个弹框案例。

后记

WindosPE文件结构还有几个节表本次没有涉及到，后面可以自行了解。对于逆向来说，PE文件结构是基础中的基础，不仅要对汇编熟悉，还要懂得调试程序，后面我会讲讲脱壳加壳的内容。大家一起努力吧！

后记

WindosPE文件结构还有几个节表本次没有涉及到，后面可以自行了解。对于逆向来说，PE文件结构是基础中的基础，不仅要对汇编熟悉，还要懂得调试程序，后面我会讲讲脱壳加壳的内容。大家一起努力吧！

##最后
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：


当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

因篇幅有限，仅展示部分资料，有需要的小伙伴，可以【扫下方二维码】免费领取：

相关文章：

逆向之Windows PE结构

写在前面 对于Windows PE文件结构，个人认为还是非常有必要掌握和了解的，不管是在做逆向分析、免杀、病毒分析，脱壳加壳都是有着非常重要的技能。但是PE文件的学习又是一个非常枯燥过程，希望本文可以帮你有一个了解。 PE文件结构…...

编程日记 2023/2/26 1:48:25

ACL是什么

目录 一、ACL是什么 二、ACL的使用：setacl与getacl 1）针对特定使用者的方式： 1. 创建acl_test1后设置其权限 2. 读取acl_test1的权限 2）针对特定群组的方式： 3）针对有效权限 mask 的设置方式&#xf…...

编程日记 2023/2/26 1:47:16

操作系统核心知识点整理--内存篇

操作系统核心知识点整理--内存篇按段对内存进行管理内存分区内存分页为什么需要多级页表TLB解决了多级页表什么样的缺陷?TLB缓存命中率高的原理是什么?段页结合: 为什么需要虚拟内存？虚拟地址到物理地址的转换过程段页式管理下程序如何载入内存？页面置…...

编程日记 2023/2/26 1:46:09

从零开始学习iftop流量监控（找出服务器耗费流量最多的ip和端口）

一、iftop是什么iftop是类似于top的实时流量监控工具。作用&#xff1a;监控网卡的实时流量&#xff08;可以指定网段&#xff09;、反向解析IP、显示端口信息等官网&#xff1a;http://www.ex-parrot.com/~pdw/iftop/二、界面说明>代表发送数据&#xff0c;< 代表接收数…...

编程日记 2023/2/26 1:45:00

第一篇博客------自我介绍篇

目录&#x1f506;自我介绍&#x1f506;学习目标&#x1f506;如何学习单片机Part 1 基础理论知识学习Part 2 单片机实践Part 3 单片机硬件设计&#x1f506;希望进入的公司&#x1f506;结束语&#x1f506;自我介绍 Hello!!!我是一名即已经步入大二的计算机小白。 --------…...

编程日记 2023/2/26 1:43:51

No suitable device found for this connection (device lo not available（网络突然出问题）

当执行 ifup ens33 出现错误&#xff1a;[rootlocalhost ~]# ifup ens33Error: Connection activation failed: No suitable device found for this connection (device lo not available because device is strictly unmanaged).1解决办法&#xff1a;[rootlocalhost ~]# chkc…...

编程日记 2023/2/26 1:42:43

【算法设计技巧】分治算法

分治算法 用于设计算法的另一种常用技巧为分治算法(divide and conquer)。分治算法由两部分组成&#xff1a; 分(divide)&#xff1a;递归解决较小的问题(当然&#xff0c;基准情况除外)治(conquer)&#xff1a;然后&#xff0c;从子问题的解构建原问题的解。 传统上&#x…...

编程日记 2023/2/26 1:41:35

已解决kettle新建作业，点击保存抛出异常Invalid state, the Connection object is closed.

已解决kettle新建作业&#xff0c;点击保存进资源数据库抛出异常Invalid state, the Connection object is closed.的解决方法&#xff0c;亲测有效&#xff01;&#xff01;&#xff01; 文章目录报错问题报错翻译报错原因解决方法联系博主免费帮忙解决报错报错问题 一个小伙伴…...

编程日记 2023/2/26 1:40:28

【设计模式】 工厂模式介绍及C代码实现

【设计模式】 工厂模式介绍及C代码实现 背景 在软件系统中&#xff0c;经常面临着创建对象的工作&#xff1b;由于需求的变化&#xff0c;需要创建的对象的具体类型经常变化。 如何应对这种变化&#xff1f;如何绕过常规的对象创建方法(new)&#xff0c;提供一种“封装机制”来…...

编程日记 2023/2/26 1:39:21

深入浅出PaddlePaddle函数——paddle.arange

分类目录&#xff1a;《深入浅出PaddlePaddle函数》总目录 相关文章&#xff1a; 深入浅出TensorFlow2函数——tf.range 深入浅出Pytorch函数——torch.arange 深入浅出PaddlePaddle函数——paddle.arange 语法 paddle.arange(start0, endNone, step1, dtypeNone, nameNone…...

编程日记 2023/2/26 1:38:07

X86 ATT常用寄存器及其操作指令

X86 AT&T常用寄存器及其操作指令 常用寄存器 esp寄存器&#xff1a;当我们需要访问堆栈帧中的变量时&#xff0c;可以使用esp寄存器来获取堆栈帧的基址&#xff0c;以便能够正确地访问堆栈帧中的变量。ebp寄存器&#xff1a;当我们需要调用一个函数时&#xff0c;可以使用…...

编程日记 2023/2/26 1:36:59

Kotlin 高端玩法之DSL

如何在 kotlin 优雅的封装匿名内部类&#xff08;DSL、高阶函数&#xff09;匿名内部类在 Java 中是经常用到的一个特性&#xff0c;例如在 Android 开发中的各种 Listener&#xff0c;使用时也很简单&#xff0c;比如&#xff1a;//lambda button.setOnClickListener(v -> …...

编程日记 2023/2/26 1:35:53

理光M2701复印机载体初始化方法

理光M2701基本参数&#xff1a; 产品类型&#xff1a;数码复合机 颜色类型&#xff1a;黑白 复印速度&#xff1a;单面&#xff1a;27cpm 双面&#xff1a;16cpm 涵盖功能&#xff1a;复印、打印、扫描 网络功能&#xff1a;支持无线、有线网络打印 接口类型&#xff1a;USB2.0…...

编程日记 2023/2/26 1:34:45

2.25Maven的安装与配置

一.Mavenmaven是一个Java世界中,非常知名的"工程管理工具"/构建工具"核心功能:1.管理依赖在进行一个A 操作之前,要先进行一个B操作.依赖有的时候是很复杂的,而且是嵌套的2.构建/编译(也是在调用jdk)3. 打包把java代码给构建成jar或者warjar就是一个特殊的压缩包…...

编程日记 2023/2/26 1:33:26

《英雄编程体验课》第 12 课 | 递归

文章目录 零、写在前面一、搜索算法的原理二、深度优先搜索三、基于DFS的记忆化搜索四、基于DFS的剪枝五、基于DFS的A*（迭代加深，IDA*）零、写在前面 该章节节选自 《夜深人静写算法》，主要讲解最基础的搜索算法，其中用到的思想就是递归，当然，如果已经对本套体验课了如指…...

编程日记 2023/2/26 1:32:15

35测试不如狗？是你自己技术不够的怨怼罢了

一、做软件测试怎么样&#xff1f; 引用著名软件测试专家、清华大学郑人杰教授的说法&#xff1a;软件测试工程师是一个越老越吃香的职业。 其中就表达了软件测试工作相对稳定、对年龄没有限制、而且随着项目经验的不断增长和对行业背景的深入了解&#xff0c;会越老越吃香。…...

编程日记 2023/2/26 1:31:06

【代码训练营】day42 | 1049. 最后一块石头的重量 II 494. 目标和 474.一和零

所用代码 java 最后一块石头的重量II LeetCode 1049 题目链接&#xff1a;最后一块石头的重量II LeetCode 1049 - 中等 思路 无。 把石头分成重量总和近似两堆&#xff0c;然后两堆石头相撞&#xff0c;剩下的就是最小的石头。每个石头只能用一次&#xff0c;01背包&#xf…...

编程日记 2023/2/26 1:29:59

Golang协程常见面试题

协程面试题交替打印奇数和偶数N个协程打印1到maxVal交替打印字符和数字交替打印字符串三个协程打印ABCChannel练习交替打印奇数和偶数 下面让我们一起来看看golang当中常见的算法面试题 使用两个goroutine交替打印1-100之间的奇数和偶数, 输出时按照从小到大输出. 方法一&…...

编程日记 2023/2/26 1:28:44

种群多样性：智能优化算法求解基准测试函数F1-F23种群动态变化图（视频）

智能优化算法求解基准测试函数F1种群动态变化图智能优化算法求解基准测试函数F2种群动态变化图智能优化算法求解基准测试函数F3种群动态变化图智能优化算法求解基准测试函数F4种群动态变化图智能优化算法求解基准测试函数F5种群动态变化图智能优化算法求解基准测试函数F6种群动…...

编程日记 2023/2/26 1:27:27

Qt 中的XML

XML的基本介绍&#xff1a; 在前端开发中&#xff1a;HTML是用来显示数据&#xff0c;而XML是用来传输和存储数据的 XML 指可扩展标记语言&#xff08;EXtensible Markup Language&#xff09;XML 是一种标记语言&#xff0c;很类似 HTMLXML 的设计宗旨是传输数据&#xff0c;而…...

编程日记 2023/2/26 1:26:19

【算法训练营Day07】字符串part1

文章目录 反转字符串反转字符串II替换数字 反转字符串 题目链接&#xff1a;344. 反转字符串 双指针法&#xff0c;两个指针的元素直接调转即可 class Solution {public void reverseString(char[] s) {int head 0;int end s.length - 1;while(head < end) {char temp …...

编程新知 2025/8/27 14:38:58

VTK如何让部分单位不可见

最近遇到一个需求&#xff0c;需要让一个vtkDataSet中的部分单元不可见&#xff0c;查阅了一些资料大概有以下几种方式 1.通过颜色映射表来进行&#xff0c;是最正规的做法 vtkNew<vtkLookupTable> lut; //值为0不显示&#xff0c;主要是最后一个参数&#xff0c;透明度…...

编程新知 2025/12/12 4:55:21

Android第十三次面试总结（四大 组件基础）

Activity生命周期和四大启动模式详解 一、Activity 生命周期 Activity 的生命周期由一系列回调方法组成&#xff0c;用于管理其创建、可见性、焦点和销毁过程。以下是核心方法及其调用时机&#xff1a; ​onCreate()​​ ​调用时机​&#xff1a;Activity 首次创建时调用。​…...

编程新知 2025/10/15 15:07:34

MySQL 8.0 事务全面讲解

以下是一个结合两次回答的 MySQL 8.0 事务全面讲解&#xff0c;涵盖了事务的核心概念、操作示例、失败回滚、隔离级别、事务性 DDL 和 XA 事务等内容&#xff0c;并修正了查看隔离级别的命令。 MySQL 8.0 事务全面讲解 一、事务的核心概念&#xff08;ACID&#xff09; 事务是…...

编程新知 2025/9/19 22:12:36

iview框架主题色的应用

1.下载 less要使用3.0.0以下的版本 npm install less2.7.3 npm install less-loader4.0.52./src/config/theme.js文件 module.exports {yellow: {theme-color: #FDCE04},blue: {theme-color: #547CE7} }在sass中使用theme配置的颜色主题&#xff0c;无需引入&#xff0c;直接可…...

编程新知 2026/1/31 9:29:45

比较数据迁移后MySQL数据库和OceanBase数据仓库中的表

设计一个MySQL数据库和OceanBase数据仓库的表数据比较的详细程序流程，两张表是相同的结构，都有整型主键id字段，需要每次从数据库分批取得2000条数据，用于比较，比较操作的同时可以再取2000条数据，等上一次比较完成之后，开始比较，直到比较完所有的数据。比较操作需要比较…...

编程新知 2025/9/14 5:35:46

系统掌握PyTorch：图解张量、Autograd、DataLoader、nn.Module与实战模型

本文较长&#xff0c;建议点赞收藏&#xff0c;以免遗失。更多AI大模型应用开发学习视频及资料&#xff0c;尽在聚客AI学院。 本文通过代码驱动的方式&#xff0c;系统讲解PyTorch核心概念和实战技巧&#xff0c;涵盖张量操作、自动微分、数据加载、模型构建和训练全流程&#…...

编程新知 2026/1/30 6:05:30

mac：大模型系列测试

0 MAC 前几天经过学生优惠以及国补17K入手了mac studio,然后这两天亲自测试其模型行运用能力如何&#xff0c;是否支持微调、推理速度等能力。下面进入正文。 1 mac 与 unsloth 按照下面的进行安装以及测试&#xff0c;是可以跑通文章里面的代码。训练速度也是很快的。 注意…...

编程新知 2026/2/4 0:46:21

DeepSeek源码深度解析 × 华为仓颉语言编程精粹——从MoE架构到全场景开发生态

前言 在人工智能技术飞速发展的今天&#xff0c;深度学习与大模型技术已成为推动行业变革的核心驱动力&#xff0c;而高效、灵活的开发工具与编程语言则为技术创新提供了重要支撑。本书以两大前沿技术领域为核心&#xff0c;系统性地呈现了两部深度技术著作的精华&#xff1a;…...

编程新知 2026/2/5 4:33:51

Sklearn 机器学习 缺失值处理 获取填充失值的统计值

💖亲爱的技术爱好者们，热烈欢迎来到 Kant2048 的博客！我是 Thomas Kant，很开心能在CSDN上与你们相遇～💖 本博客的精华专栏： 【自动化测试】 【测试经验】 【人工智能】 【Python】 使用 Scikit-learn 处理缺失值并提取填充统计信息的完整指南 在机器学习项目中，数据清…...

编程新知 2026/1/20 10:06:51