PE文件格式详解

关注

VIP免费原创 2023-09-04 19:51:27 2.5k 阅读 AI 写同款· GEO 优化 ›

PE 视频学习笔记 PE 视频学习 1.认识PE 首先，先介绍什么是可执行文件(executable file)：可以由操作系统进行加载执行的文件而 PE（Portable Executable）就是windows操作系统的可执行文件结构，一种可移植的可执行文件，即可在任何windows平台上运行另外 **ELF（Executable and Linking Format）**是Linux系统的可执行文件结构 1.1PE文件格式的运用病毒与反病毒外挂与反外挂加壳与脱壳无源码修改功能、软件汉化。。。等 1. 阅读详情

摘要

本文描述了Windows系统的PE文件格式。

PE文件格式简介

PE（Portable Executable）文件格式是一种Windows操作系统下的可执行文件格式。PE文件格式是由Microsoft基于COFF（Common Object File Format）格式所定义的，它规定了Windows可执行文件（.exe）和动态链接库（.dll）的结构，包括文件头、节表、导入和导出表、资源表、重定位表等。PE格式被广泛应用于Windows操作系统及Windows软件开发中，它的特点是文件结构清晰、易于扩展、安全性高等。

PE文件格式分为PE32和PE32+，Windows 32位系统采用的是PE32，Windows 64位系统采用的是PE32+。PE32和PE32+之间的区别如下：

1. PE32+将PE32中的32位RVA字段和尺寸相关字段扩展成了64位。

2. 在PE32+中使用了新的数据结构，其中重要的变化是IMAGE_OPTIONAL_HEADER结构的扩展，以包括更多的字段和属性。

3. PE32+中使用了更多的CPU指令集，包括SSE2、SSE3和AVX等指令，以提高程序的性能和处理能力。

本文以PE32文件格式和x86机器模型作为示例进行讲解。

PE文件主要由若干节（Section）构成，节是PE文件格式的核心概念。

PE文件中节与CPU架构中的段（Segment）的概念相对应。加载器将不同内存访问属性的节被加载进内存后，由CPU的LDTR和GDTR指示的段描述表来描述。程序运行时，CPU通过的各种段选择子（如CS、DS、SS、ES、FS、GS等）来选择对应的段（如：代码段.text、数据段.data）的段描述符，通过前端总线（FSB）来访问段内的代码或数据。

COFF文件结构图

Windows系统中的VC编译出来的目标文件格式采用的COFF文件格式，其结构如下：

COFF（Common Object File Format）文件格式起源于UNIX系统，最早是由AT&T Bell Laboratories和Microsoft合作开发出来的。这种文件格式最初用于存储编译后的目标文件和共享库，并被广泛应用于UNIX系统中。COFF文件格式在1985年被POSIX标准所接受，并逐渐成为了一种通用的目标文件格式。

在后来的Windows平台中，微软对COFF进行了一些修改和扩展，并将其用作PE（Portable Executable）文件的基础格式。PE文件包含了Windows中可执行文件和动态链接库的细节信息，并成为了Windows系统中的主要二进制文件格式。在Windows上，COFF和PE同宗同源，联系紧密，可统称为COFF/PE格式。