PE头部的解析（总结于小甲鱼）
上次讲到DOS现在讲下紧跟在DOS头部后面的PE头：
PE头映射的是IMAGE_NT_HEADER结构，里面包含PE装载器用到的重要字段
下图是IMAGE_NT_HEADER结构体原型有三个成员：
Signature字段：在一个有效的PE文件里，Signature字段被设置为'00 00 45 50'，ASCII码字符是‘PE00’。标志着PE文件头的开始:
IMAGE_FELE_HEADER也是一个结构体：
Machine成员 下图'01 4C'说明了可执行文件目标CPU类型：
Machine:
0x014c x86
0x0200 Intel Itanium
0x8664 x64
NumberOfSections成员 下图'00 08'说明了区块的数目，这里说明区块数目为8：
TimeDateStamp成员 下图'2A 42 5E 19'说明了文件的创建时间，是以格林威治时间1970,1,1开始计算按秒：
下边说明名了这七个成员的内存中偏移位置：
SizeOfOptionalHeader成员：OfOptionalHeader数据结构的大小；对于32位PE文件，这个值通常是'00 E0';对于64位这个PE32+文件，这个值是‘00 f0’
IMAGE_IPTIONAL_HEADER32结构:在IMAGE_FELE_HEADER这个结构体上加了很多东西
typedef struct_IMAGE_OPTIONAL_HEADER
{
/*
Standard fields
*/
+18H WORD
Majic; //标志字，ROM映像（0107H），普通可执行文件（010bH）
+1aH BYTE
MajorLinkerVersion; //链接程序的主版本号
+1bH BYTE
MinorLinkerVersion; //链接程序的次版本号
+1cH DWORD
SizeOfCode; //所有含代码的节的总大小
+20H DWORD
SizeOfInitializedData //所有含已初始化数据的节的总大小
+24H DWORD
SizeOfUninitializedData;//所有含未初始化数据的节的大小
+28H DWORD
AddressOfEntryPoint; //程序执行入口RVA
+2cH DWORD
BaseOfCode; //代码区块的起始RVA
+30H DWORD
BaseOfData; //数据的区块的起始RVA
/*
NT additional fields.
以下是属于NT结构增加的领域
*/
+34H DWORD
ImageBase; //程序的首选装载地址
+38H DWORD
SectionAlignment; //内存中的区块的对齐大小
+3cH DWORD
FileAlignment; //文件中的区块的对齐大小
+40H WORD
MajorOperatingSystemVersion;//要求操作系统最低版本号的主版本号
+42H WORD
MinorOperatingSystemVersion;//要求操作系统最低版本号的副版本号
+44H WORD
MajorImageVersion; //可运行于操作系统的主版本号
+46H WORD
MinorImageVersion; //可运行于操作系统的次版本号
+48H WORD
MajorSubsystemVersion; //要求最低子系统版本的主版本号
+4aH WORD
MinorSubsystemVersion; //要求最低子系统版本的次版本号
+4cH DWORD
Win32VersionValue; //莫须有字段，不被病毒利用的话一般为0
+50H DWORD
SizeOfImage; //映像装入内存后的总尺寸
+54H DWORD
SizeOfHeaders; //所有头 + 去块表的尺寸大小
+58H DWORD
CheckSum; //映像的效验和
+5cH WORD
Subsystem; //可执行文件期望的子系统
+5eH WORD
DllCharacteristics; //DllMain()函数何时被调用，默认为0
+60H DWORD
SizeOfStackReserve; //初始化时的栈大小
+64H DWORD
SizeOfStackCommit; //初始化实际提交的栈大小
+68H DWORD
SizeOfHeapReserver; //初始化时保留的堆大小
+6cH DWORD
SizeOfHeapCommit; //初始化时实际提交的堆大小
+70H DWORD
LoaderFlags; //与调试有关，默认为0
+74H DWORD
NumberOfRvaAndSizes; //下边数据目录的项数，这个字段自Windows NT发布以来一直是16
+78H IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]; //数据目录表
}IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;