PE文件格式

typedef struct _IMAGE_DOS_HEADER {　// DOS-MZ文件头
    WORD　e_magic;　　　　　　// DOS 可执行文件的标识符
    WORD　e_cblp;　　　　　　// Bytes on last page of file
    WORD　e_cp;　　　　　　// Pages in file
    WORD　e_crlc;　　　　　　// Relocations
    WORD　e_cparhdr;　　　　　// Size of header in paragraphs
    WORD　e_minalloc;　　　　　// Minimum extra paragraphs needed
    WORD　e_maxalloc;　　　　　// Maximum extra paragraphs needed
    WORD　e_ss;　　　　　　// Initial (relative) SS value
    WORD　e_sp;　　　　　　// Initial SP value
    WORD　e_csum;　　　　　　// ChecksumWORD　e_ip;　　　　　　// Initial IP valueWORD　e_cs;　　　　　　// Initial (relative) CS value
    WORD　e_lfarlc;　　　　　// File address of relocation table
    WORD　e_ovno;　　　　　　// Overlay number
    WORD　e_res[4];　　　　　// Reserved words
    WORD　e_oemid;　　　　　　// OEM identifier (for e_oeminfo)
    WORD　e_oeminfo;　　　　　// OEM information; e_oemid specific
    WORD　e_res2[10];　　　　　// Reserved words
    LONG　e_lfanew;　　　　　// PE 签名的文件偏移量
} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature; //该结构体中的Signature就是PE签名，标识该文件是否是PE文件。该部分占4字节，即“50 45 0000”。
    IMAGE_FILE_HEADER FileHeader; //标准头PE
    IMAGE_OPTIONAL_HEADER32 OptionalHeader; //扩展头PE
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;  

typedef struct _IMAGE_FILE_HEADER {
    WORD　Machine;  // 标识目标计算机类型的数字。
    WORD　NumberOfSections;  // 区段数量。
    DWORD　TimeDateStamp;  // 自1970年1月1日00：00起的秒数的低 32 位 (C 运行时time_t值) ，该值指示文件创建时间。
    DWORD　PointerToSymbolTable; // COFF符号表的文件偏移量，如果没有COFF符号表，则为零。映像的此值应为零，因为 COFF 调试信息已弃用。
    DWORD　NumberOfSymbols;  // 符号表中的条目数。此数据可用于查找紧跟在符号表后面的字符串表。映像的此值应为零，因为 COFF 调试信息已弃用。
    WORD　SizeOfOptionalHeader;  // 可选标头的大小，这是可执行文件所必需的。
    WORD　Characteristics;  // 指示文件属性的标志。
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

typedef struct _IMAGE_ROM_OPTIONAL_HEADER {
    WORD   Magic;  //标识头 PE32 还是PE32+ 或 ROM文件
    BYTE   MajorLinkerVersion; //连接器主要版本
    BYTE   MinorLinkerVersion;  //连接器次要版本
    DWORD  SizeOfCode;  //所有文本和代码的总和 
    DWORD  SizeOfInitializedData; //初始化数据部分大小 
    DWORD  SizeOfUninitializedData;  //未初始化数据部分大小
    DWORD  AddressOfEntryPoint; //程序载入内存中的映像基地址地址
    DWORD  BaseOfCode; //PE载入内存中的相对于模块的基地址偏移
    DWORD  BaseOfData;
    DWORD  BaseOfBss;
    DWORD  GprMask;
    DWORD  CprMask[4];
    DWORD  GpValue;
} IMAGE_ROM_OPTIONAL_HEADER, *PIMAGE_ROM_OPTIONAL_HEADER;