PE文件格式(1)：文件结构、磁盘与内存状态

DOS头
NT头
  PE标识
  文件头
  可选头
    数据目录表数组
节区表数组

IMAGE_DOS_HEADER
IMAGE_NT_HEADERS
  IMAGE_FILE_HEADER
  IMAGE_OPTIONAL_HEADER
    IMAGE_DATA_DIRECTORY[16]
IMAGE_SECTION_HEADER[FileHeader.NumberOfSections]

typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
    WORD   e_magic;                     // Magic number
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // File address of new exe header
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

// x64下的NT头
typedef struct _IMAGE_NT_HEADERS64 
{
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER64 OptionalHeader;
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;

// x86下的NT头
typedef struct _IMAGE_NT_HEADERS
{
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;			// 用的是什么汇编，32（i386）、64（AMD64）
    WORD    NumberOfSections;	// 节区数量
    DWORD   TimeDateStamp;		// 文件的时间戳
    DWORD   PointerToSymbolTable;	
    DWORD   NumberOfSymbols;	// 符号表的信息，如果将PDB内嵌到二进制中
                                // 就是符号表的RVA，否则为0
                                // 很多其他平台的编译器，Debug时都是将符号表内嵌到二进制中
                                // MSVC编译器是生成一个单独的PDB文件
    WORD    SizeOfOptionalHeader; // 可选头（选项头）对象的大小，32、64下分别是固定的数值
    WORD    Characteristics;	// 指示这个PE可执行文件的一些特性
                                // 是不是一个dll、是不是系统文件等等，完整如下图所示
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

typedef struct _IMAGE_OPTIONAL_HEADER {
    //
    // Standard fields.
    //
    WORD    Magic;				// 决定PE文件位数，PE32（010B）、PE64（020B）
    
    BYTE    MajorLinkerVersion;	// 链接器主、次版本号，可以用来推测VS的版本
    BYTE    MinorLinkerVersion;	// 对逆向分析有什么作用？
                                // 比如判断出来是VC6开发的，就可以判断不存在随机基址
                                // 但是仅供参考，这个数值生成后随便改，不影响运行
                                
    DWORD   SizeOfCode;			// 该PE程序的汇编代码量字节数，存在对齐
                                // 可以实现反调试（反OD调试）
    
    DWORD   SizeOfInitializedData;
    DWORD   SizeOfUninitializedData;
    
    DWORD   AddressOfEntryPoint;	// 程序装载完成后，入口点代码RVA
                                    // 早期病毒会在文件静态Hook这个点
    
    DWORD   BaseOfCode;
    DWORD   BaseOfData;

    //
    // NT additional fields.
    //
    DWORD   ImageBase;			// PE文件装载后，内存基址
    DWORD   SectionAlignment;	// PE文件装载后，在内存中的对齐粒度，一般为0x1000（4KB页面）
    DWORD   FileAlignment;		// PE文件在磁盘中的对齐粒度，一般为0x200（一个扇区大小）
    WORD    MajorOperatingSystemVersion;
    WORD    MinorOperatingSystemVersion;	// 系统的主、次版本号
    WORD    MajorImageVersion;
    WORD    MinorImageVersion;		// PE文件的主、次版本号
    WORD    MajorSubsystemVersion;
    WORD    MinorSubsystemVersion;	// 子系统的主、次版本号
    DWORD   Win32VersionValue;
    DWORD   SizeOfImage;			// PE文件装载后，在内存中的大小
    
    DWORD   SizeOfHeaders;			// 实际的PE文件头大小，但是手动拉伸，一般直接复制4KB
                                    // 更多见本文中的"易错纠正2"
    
    DWORD   CheckSum;				// 校验和
    WORD    Subsystem;				// 子系统：控制台（Cui）、窗口（Gui）
    
    WORD    DllCharacteristics;		// PE文件属性，动态基址（随机基址）就是在这里设置
                                    // 详细内容见#1-2章节笔记
    
    DWORD   SizeOfStackReserve;
    DWORD   SizeOfStackCommit;		// PE文件提前保留、提交的堆栈大小，粒度页为单位
    
    DWORD   SizeOfHeapReserve;
    DWORD   SizeOfHeapCommit;		// PE文件提前保留、提交的堆大小，粒度页为单位
    
    DWORD   LoaderFlags;
    DWORD   NumberOfRvaAndSizes;
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
                                    // 数据目录表数组，宏固定大小为16
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES    16

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;		// 该表的RVA
    DWORD   Size;				// 表大小
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

A.dll
B.dll
C.dll
// ...

typedef struct _IMAGE_SECTION_HEADER 
{
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];	// 节区名，例如".reloc"、".rsrc"、".text"	
                                            // 这里有一个潜规则，有MSVC编译器编译的程序
                                            // 节区名以字符'.'开头
    union 
    {
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;// 一般只按这个方式进行解释，表示节区内存中的大小
    } Misc;
    DWORD   VirtualAddress;		// PE装载到内存后，该节区的RVA
    DWORD   SizeOfRawData;		// 该节区原始大小，系统载入PE是按照这个大小来拷数据
    DWORD   PointerToRawData;	// PE文件在磁盘状态时，该节区在文件中的偏移
    DWORD   PointerToRelocations;
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;	// 这个节区的一些属性（RWX、初始化后可以丢弃）
                                // 一些属性如下所示
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

IMAGE_SCN_MEM_DISCARDABLE   0x02000000	// 节区可以丢弃
IMAGE_SCN_MEM_NOT_CACHED    0x04000000	// 不缓存
IMAGE_SCN_MEM_NOT_PAGED     0x08000000	// 不可分页
IMAGE_SCN_MEM_SHARED        0x10000000	// 共享的
IMAGE_SCN_MEM_EXECUTE       0x20000000	// 可执行
IMAGE_SCN_MEM_READ          0x40000000	// 可读
IMAGE_SCN_MEM_WRITE         0x80000000	// 可写

#define IMAGE_FIRST_SECTION( ntheader ) ((PIMAGE_SECTION_HEADER)        \
    ((ULONG_PTR)(ntheader) +                                            \
     FIELD_OFFSET( IMAGE_NT_HEADERS, OptionalHeader ) +                 \
     ((ntheader))->FileHeader.SizeOfOptionalHeader   \
    ))

// 获取第一个节区表指针
IMAGE_SECTION_HEADER* pSectionHeader = IMAGE_FIRST_SECTION(pNtHeader);

// 遍历所有的节区表
for (ULONG i = 0; i < pFileHeader->NumberOfSections; i++, pSectionHeader++)
{
    // ...
}

memcpy(MemBuffer, FileBuffer, 0x1000);

DWORD header_size = pNtHeaders->OptionalHeader.SizeOfHeaders;
memcpy(MemBuffer, FileBuffer, header_size);