零、大纲
PE文件头的大体结构，主要是几个结构体：
IMAGE_DOS_HEADER
IMAGE_NT_HEADERS
IMAGE_FILE_HEDER
IMAGE_OPTIONAL_HEADER
IMAGE_SECTION_HEADER（多个）
一、IMAGE_DOS_HEADER
这个结构体里的大多数成员对PE文件的运行不重要，主要是为了兼容DOS系统。需要了解的成员有第一个和最后一个。
00000000: e_magic ：标识符，恒为字母MZ
0000003C: e_lfanew ：IMAGE_NT_HEADERS的偏移，操作系统根据这个值找到NT头的起始位置
二、IMAGE_NT_HEADERS
可以看到这个结构体的成员并不多，主要是为了包括那两个大结构体
1、+0 Signature：恒为值50450000，即字符串"PE\x00\x00"
2、+4 IMAGE_FILE_HEADER
(1)+0 Machine：指出文件的运行平台，可选值见msdn Image File Machine Constants
在我的Windows系统里常用的有：
IMAGE_FILE_MACHINE_AMD64 0x8664 0x8664：64位系统
IMAGE_FILE_MACHINE_I386 0x014C：32位系统
(2)+2 NumberOfSections：指出节区头的个数，系统根据此值读取相应个数的节区头
(3)+4 TimeDateStamp：创建时间戳（好像是1970年1月1号00:00:00到现在的秒数？）
(4)+16 SizeOfOptionalHeader：可选头大小，系统利用此值找到节区头的起始位置
(5)+18 Characteristics：PE文件属性
3、 +24 IMAGE_OPTIONAL_HEADER32
重要成员如下：
(1)+0 Magic：如果是32位文件头，该值为0x10E，如果是64位文件头，该值为0x20E
(2)+16 AddressOfEntryPoint：程序入口点
(3)+28 ImageBase：内存装载地址
(4)+32 SectionAlignment、+36 FileAlignment：节区/文件对齐大小，指定节区在内存和文件中的最小单位，可能相同，也可能不同
(5)+56 SizeOfImage：PE文件装入内存后的大小
(6)+60 SizeOfHeaders：PE头大小，文件开始 + 头大小 = 第一个节区开始
(7)+68 Subsystem：子系统，1为系统文件，2为GUI图形界面程序，3为CUI控制台窗口程序
(8)+92 NumberOfRvaAndSizes：下一项DataDirectory数组的长度，windows根据该值读取DataDirectory个数，一般而言是16，但也可能不是
(9)+96 DataDirectory[16]：定义了16个目录，每个IMAGE_DATA_DIRECTORY结构体由rva和size两项组成
三、IMAGE_SECTION_HEADER
节区头定义了一些节区相关的属性。
1、 +0 Name：一个长度为8的字符数组，因此名字末尾不需要留\x00。这个名字可以随便取
2、 +8 Misc 里面一般而言是VirtualSize
VirtualSize：引用某文：“当前节数据内存中文件对齐前的真实尺寸，什么意思呢？假如当前节数据实际大小是0x180，但是在文件中需要进行文件对齐(假设当前文件对齐大小为0x200)，所以只能是0x200，所以必须多加0x80，而0x180其实就是这里说的 VirtualSize !”
3、 +12 VirtualAddress：当前节数据在内存中的偏移大小，当前节数据在内存中的地址位置就是该 VirtualAddress + ImageBase，数值总是SectionAlignment的值的整数倍（为什么说不带任何值，可由SectionAlignment决定？没看懂）
4、 +16 SizeOfRawData：磁盘文件中的大小，该值已经过FileAlignment对齐
5、 +20 PointerToRawData：磁盘文件原始数据的起始位置（为什么说不带任何值，可由FileAlignment决定？没看懂）
6、 +36 Characteristics：由以下值组合而成，决定了该节区的属性
四、总结：
总算写完了！写的真的慢。不过欣慰的是，大多是东西我都记住了，没有复制太多的资料。
逆向水真深，不知何年何月才能掌握。等我浏览完逆向工程核心原理，就去学WindowsAPI编程吧，没点Windows编程经验， 还真搞不了逆向。
注：本文大部分图片由《逆向工程核心原理》一书截取而来
