Windows之7：PE格式解析及加壳技术案例实战

如果你写过 Windows 下的程序，大概率见过 exe 文件，但未必说得清它里面到底装了什么。更麻烦的是，一旦遇到「程序双击没反应」「某个 dll 加载失败」「安全软件报某个节区可疑」这类问题，没有 PE 结构的知识，排查就只能靠猜。这门课解决的就是这个缺口：把 exe 当成一份有格式规定的二进制文件来读，而不是一个黑色方块。

先确认你是不是需要补这一块

下面这些场景，命中任意两条以上，说明 PE 格式是当前最该补的基础：

• 会用调试器下断点，但看到模块窗口里一堆地址和节名就跳过不看；
• 做逆向练习时，工具自动标出入口点，你说不出这个地址是怎么算出来的；
• 听说过 RVA、节对齐、导入表这些词，但没法用自己的话讲清楚它们之间的关系；
• 对「加壳」的理解停留在「用了某个工具」，不清楚壳对文件做了什么改动；
• 写外挂、做安全分析、搞软件保护方向，卡在文件格式这一层上不去。

反过来，如果你只是想做普通的上层开发，平时不碰二进制分析、不读反汇编、不关心程序加载过程，那这门课的优先级可以往后放——它属于基础支撑类内容，用不上时价值不明显，用得上时绕不过去。

这门课要跨过的几个坎

第一道坎：把文件和内存对上号

PE 最劝退的地方在于「同一份数据有两套地址」。文件里按文件对齐存放，加载到内存后按内存对齐展开，中间还要经过 RVA 到 RAW 的换算。很多人卡在这里，后面所有解析都变成抄代码。课程从文件结构入手，把这套映射关系讲透，后面看节表、看导入导出表才不会虚。

第二道坎：读懂头部和节表

DOS 头、NT 头、节表，是 PE 的骨架。课程会拆到具体字段，包括常见的节名分别承担什么职责、内存中的节和节表里记录的节为什么会对不上。这部分练完，你应该能拿一个陌生的 exe，手工定位到入口点、数出它有几个节、看出哪个节被改过。

第三道坎：导入导出与系统交互

程序不是孤立的，它靠导入表拿到系统和其他模块提供的函数。导入表、导出表的结构和解析方式，是把「静态文件」和「运行行为」连起来的环节。这块清楚了，再看注册表相关的加载行为、模块依赖问题，思路会顺很多。

第四道坎：加壳与脱壳

加壳本质上是在原有 PE 上做加工：改入口、加节、压缩或加密原始代码，运行时再还原。课程用案例的方式走这个过程，包括壳对文件结构的改动、常见壳的行为特征、以及脱壳的基本思路。这一部分是整门课的综合应用，前面的头部、节表、导入表知识会全部用上。

配套练习该怎么用

PE 格式属于「看懂不等于会做」的内容。建议每学完一块结构，就自己拿记事本或十六进制工具打开一个真实 exe，对照着找字段，再写几行代码把这块结构解析出来打印。加壳部分更要动手：自己写一个最简单的壳，哪怕只是改入口点加一段跳转，也比看十遍讲解有用。案例部分不要只看结果，先猜再验证。

学完之后，你应该能回答这些问题

• 一个 exe 从磁盘被双击到代码跑起来，文件里的数据是怎么被搬到内存并展开的？
• 给定一个 RVA，怎么算出它在文件里的偏移？反过来呢？
• 节表里记录的节和内存里实际的节，为什么大小经常不一致？
• 导入表里的函数名和实际调用的地址是怎么对应上的？
• 加了壳的程序，入口点、节表、导入表分别发生了什么变化？脱壳要恢复的是哪些东西？

能顺畅答出这几问，说明 PE 这一层你不再需要绕道走。答不上来的那几条，正好对应你还该回头补的章节。