学习笔记-手写简单PE

<div class="blogpost-body" id="cnblogs_post_body">
环境工具： Windows 10
010Editor
目标程序功能:
调用MessageBoxA弹出消息框。
 
1.构造DOS头 
typedef struct _IMAGE_DOS_HEADER { // DOS .EXE header
 WORD e_magic; // Magic number
 WORD e_cblp; // Bytes on last page of file
 WORD e_cp; // Pages in file
 WORD e_crlc; // Relocations
 WORD e_cparhdr; // Size of header in paragraphs
 WORD e_minalloc; // Minimum extra paragraphs needed
 WORD e_maxalloc; // Maximum extra paragraphs needed
 WORD e_ss; // Initial (relative) SS value
 WORD e_sp; // Initial SP value
 WORD e_csum; // Checksum
 WORD e_ip; // Initial IP value
 WORD e_cs; // Initial (relative) CS value
 WORD e_lfarlc; // File address of relocation table
 WORD e_ovno; // Overlay number
 WORD e_res[4]; // Reserved words
 WORD e_oemid; // OEM identifier (for e_oeminfo)
 WORD e_oeminfo; // OEM information; e_oemid specific
 WORD e_res2[10]; // Reserved words
 LONG e_lfanew; // File address of new exe header
 } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;
 关键字段: WORD e_magic; 　　 MZ 4D 5A (标识符) LONG e_lfanew; 　 40h 40 00 00 00(DosStub去除后，IMAGE_DOS_HEADER 的结构体大小就是Dos头大小)
4D 5A 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 40 00 00 00
 2.构造NT头 
typedef struct _IMAGE_NT_HEADERS64 {
 DWORD Signature; 
 IMAGE_FILE_HEADER FileHeader; 
 IMAGE_OPTIONAL_HEADER64 OptionalHeader; 
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;
 
typedef struct _IMAGE_NT_HEADERS {
 DWORD Signature; //标示符(PE)
 IMAGE_FILE_HEADER FileHeader; //文件头结构体
 IMAGE_OPTIONAL_HEADER32 OptionalHeader; //可选映像头结构体
 } IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
关键字段: DWORD Signature; 　　50 45 00 00 (标识符)
IMAGE_FILE_HEADER FileHeader; 
typedef struct _IMAGE_FILE_HEADER {
 WORD Machine; 　　　//运行平台
 WORD NumberOfSections; //文件区块数量
 DWORD TimeDateStamp; //文件创建日期和时间
 DWORD PointerToSymbolTable; //指向符号表(主要用于调试)
 DWORD NumberOfSymbols; //符号表中符号个数
 WORD SizeOfOptionalHeader; //IMAGE_OPTIONAL_HEADER32结构大小
 WORD Characteristics; 　 //文件属性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;
关键字段 2.1 WORD Machine; 　　　　　　　　　4c 01 (0x014c x86) 2.2 WORD NumberOfSections;　　　　　02 00 (1.text 2.rdata) 2.3 WORD SizeOfOptionalHeader; 　　　E0 00 (NT扩展头大小) 2.4 WORD Characteristics; 　　　　　　0F 01 (可以自定义)
IMAGE_OPTIONAL_HEADER32 OptionalHeader; // 可选映像头结构体
typedef struct _IMAGE_OPTIONAL_HEADER 
{ 
// 
// Standard fields. 
// 
+18h WORD Magic; // 标志字, ROM 映像（0107h）,普通可执行文件（010Bh） 
+1Ah BYTE MajorLinkerVersion; // 链接程序的主版本号 
+1Bh BYTE MinorLinkerVersion; // 链接程序的次版本号 
+1Ch DWORD SizeOfCode; // 所有含代码的节的总大小 
+20h DWORD SizeOfInitializedData; // 所有含已初始化数据的节的总大小 
+24h DWORD SizeOfUninitializedData; // 所有含未初始化数据的节的大小 
+28h DWORD AddressOfEntryPoint; //-----> 程序执行入口RVA(OEP) 
+2Ch DWORD BaseOfCode; // 代码的区块的起始RVA 
+30h DWORD BaseOfData; // 数据的区块的起始RVA 
// 
// NT additional fields. 以下是属于NT结构增加的领域。 
// 
+34h DWORD ImageBase; // ---------->程序的首选装载地址(基地址) 
+38h DWORD SectionAlignment; // 内存中的区块的对齐大小 
+3Ch DWORD FileAlignment; // 文件中的区块的对齐大小 
+40h WORD MajorOperatingSystemVersion; // 要求操作系统最低版本号的主版本号 
+42h WORD MinorOperatingSystemVersion; // 要求操作系统最低版本号的副版本号 
+44h WORD MajorImageVersion; // 可运行于操作系统的主版本号 
+46h WORD MinorImageVersion; // 可运行于操作系统的次版本号 
+48h WORD MajorSubsystemVersion; // 要求最低子系统版本的主版本号 
+4Ah WORD MinorSubsystemVersion; // 要求最低子系统版本的次版本号 
+4Ch DWORD Win32VersionValue; // 莫须有字段，不被病毒利用的话一般为0 
+50h DWORD SizeOfImage; // 映像装入内存后的总尺寸 
+54h DWORD SizeOfHeaders; // 所有头 + 区块表的尺寸大小 
+58h DWORD CheckSum; // 映像的校检和 
+5Ch WORD Subsystem; // 可执