PE文件结构(待完善）

IMAGE_DOS_HEADER(MZ文件头)

总共0x40个字节， 也就是前4行

最后一个字段比较重要， 占据了4 个字节

MS-DOS Stub Program

IMAGE_NT_HEADERS

前两个字节标识PE
这一部分的起始地址就是IMAGE_DOS_HEADER的最后一个字段的值

Signature (占4个字节)

IMAGE_FILE_HEADER(占 14H 个字节)

打开这个字段会报错

字段分布说明如下

映像文件头结构

IMAGE_OPTIONAL_HEADER

第一条指令的地址 = Adddress of entry point + Image Base

几个概念

ImageBase
PE文件在内存中的优先装载地址

对齐粒度

问题来了
文件中节对齐的粒度是0x200
内存中节对齐的粒度是0x1000