PE 是逆向的门槛，别只当文档读

很多初学者在学 Windows 逆向时，第一步就卡在了 PE 文件结构上。不是因为难，而是因为教材太抽象——书上列着 DOS 头、NT 头、节表，你背下来了，但打开一个 .exe 还是不知道从哪里下手。这门课解决的核心问题，就是把这个“黑盒”拆开来，让你亲手用代码把 PE 结构的每一个字节都对应到实际意义。 PE（Portable Executable）不是随便一种文件格式，它是 Windows 程序的骨架。壳的加载、代码节的加密、地址重定位、导入表篡改，所有高级技巧都建立在对 PE 结构的精准理解之上。如果连节区边界都算不准，谈何加壳脱壳？如果不懂 RVA 到文件偏移的转换，拿什么做基础的信息采集工具？这门课不教你现成的脱壳工具怎么用，而是让你自己写出解析 PE 的代码，从判断 DOS 签名开始，一步步解析 File Header、Optional Header，再到节表扫描与地址转换。每一步都有配套的编程练习，这是真正能填补能力缺口的方式。 适合有一定 C/C++ 基础、已经接触过汇编或静态分析工具（如 IDA、OD）但缺乏系统性底层知识的学习者。如果你之前看 PE 结构文档像看天书，或者写工具时经常地址对不上，这门课就是你的补漏课。建议先看前 5 节建立整体认知，再从第 6 到第 11 节跟随编程实现，尤其是“编程判断 PE 有效性”和“手动及编程添加节”这两块，是区分理论派和实战派的分水岭。

自己动手写解析器，才算真正掌握

这门课最核心的价值在于“练”。它不是视频看完就结束的被动输入，而是要求你每节都跟着写代码：用 C/C++ 读取 PE 文件头、验证签名、提取节区信息、完成 RVA 与文件偏移的双向转换，甚至手动给可执行文件添加一个新的节并让系统正常加载。这些练习直接对应你未来独立工作时会遇到的真实场景——比如开发一个轻量级 PE 分析器、编写自定义加载器、或者分析加壳程序的入口点。 学完这门课，你应该能独立回答这些问题：一个 .exe 文件是如何被操作系统识别并加载的？如何编程判断一个文件是否是合法的 PE 格式？节表中的 VirtualAddress 和 PointerToRawData 到底有什么区别，如何在两者之间做地址转换？给一个普通程序动态添加一个节区，需要修改哪些字段才能保证程序不被系统拒绝？这些不是面试题，而是你做任何 Windows 底层开发都必须跨过的第一道坎。 资料包中的课程视频配合章节末尾的编程任务使用效果最佳。不要跳过练习直接看答案——PE 结构的理解高度依赖动手校验，你看十遍文档不如自己写一遍解析器。把视频当作引导，把代码练习当作主体，这样学完才能真正具备独立分析 PE 结构的能力，也为后续学习加解密、脱壳、漏洞利用打下坚实基础。

课程目录

1-1 [PE文件格式介绍] PE文件结构引导课程 (37:02)
1-2 [PE文件格式介绍] PE文件结构概述 (30:42)
1-3 [PE文件格式介绍] 关于文件读写的编程 (26:27)
1-4 [PE文件格式介绍] DOS头详解 (30:55)
1-5 [PE文件格式介绍] 编程判断PE文件的有效性 (25:05)
1-6 [PE文件格式介绍] 文件头及编程解析 (32:54)
1-7 [PE文件格式介绍] 可选头及编程解析 (39:20)
1-8 [PE文件格式介绍] 通过软件破解实例说明PE文件中的地址 (31:22)
1-9 [PE文件格式介绍] 节表详解、解析及地址转换 (25:07)
1-10 [PE文件格式介绍] 编程实现地址转换 (15:20)
1-11 [PE文件格式介绍] 分别手动和编程实现添加节 (24:45)
1-12 [PE文件格式介绍] 导入表分析 (30:34)
1-13 [PE文件格式介绍] 编程解析导入表 (20:46)
2-1 [手工打造可执行文件] 构造PE头部 (20:22)
2-2 [手工打造可执行文件] 构造PE体 (22:37)
2-3 [手工打造可执行文件] 对可执行文件保护的实例之代码加密 (16:54)
2-4 [手工打造可执行文件] 对可执行文件保护的实例之导入表隐藏 (26:59)
2-5 [手工打造可执行文件] 课程总结 (26:46)