PE文件结构分析
基本概念
- 认识PE文件
PE文件的全称是Portable Executable，意为可移植的可执行的文件，常见的EXE、DLL、OCX、SYS、COM都是PE文件，PE文件是微软Windows操作系统上的程序文件（可能是间接被执行，如DLL）。
EXE和DLL文件之间的区别完全是语义上的，他们使用完全相同的PE格式。唯一的区别就是用一个字段标识出这个文件是EXE还是DLL。还有许多DLL的扩展，如OCX控件和控制面板程序（.CPL文件）等都是DLL，它们有一样的实体。
64位的Windows只是对PE格式做了一些简单的修饰，新格式叫PE32+。没有新的结构加进去，其余的改变只是简单地将以前的32位字段扩展成64位。对于C++代码，Windows文件头的配置使其拥有不明显的区别。
整体结构
PE结构一般来说：从起始位置开始依次是DOS头、NT头、节表以及具体的节。
基地址
程序加载进内存的起始地址。
当PE文件通过Windows加载器被装入内存后，内存中的版本被称作模块（Module）。映射文件的起始地址被称为模块句柄（hModule），可以通过模块句柄访问内存中其他的数据结构。这个初始内存地址也称为基地址（ImageBase）。我们可以通过Pchunter工具查看程序基地址。
相对虚拟地址
又称作RVA,它是一个“相对”地址，或称为“偏移量”。存中的一个简单的相对于PE文件装入地址的偏移位置。顺便说一下，在PE用语里，实际的内存地址被称作虚拟地址（Virtual Address，简称VA），另外也可以把虚拟地址想象为加上首选装入地址的RVA。不要忘了前面提到的装入地址等同于模块句柄。它们之间的关系如下：
虚拟地址（VA）=基地址（ImageBase）+相对虚拟地址（RVA）
