计算机“文件头”概念

[TOC]

## 1. 什么是“文件头”

文件头是计算机文件中用于存储特定类型文件的元数据和结构信息的一段固定长度的数据区域。它通常位于文件的起始部分，包含了使操作系统或其他软件能够正确识别、加载和解析文件的关键信息。

### 1.1. PE32 文件头

对于PE32（Portable Executable, 可移植执行体）文件格式，其文件头具体指的是与该文件类型相关的特定结构，这些结构共同定义了PE文件的全局布局、编译选项、内存映射要求、入口点以及其他重要属性。

PE32文件头可以细分为以下几个关键部分：

1. **DOS头（IMAGE_DOS_HEADER）**：
   - 位于文件的最开始，大小固定为64字节。
   - 主要为了向后兼容早期的MS-DOS系统，包含一个魔术数字`e_magic`（值为`0x5A4D`或字符串"MZ"），表示这是一个MZ格式的DOS可执行文件。
   - `e_lfanew`字段指向PE文件头（NT头）的文件偏移地址，使得现代操作系统能够跳过DOS头，直接找到真正的PE文件起始点。

2. **PE签名（PE Signature）**：
   - 在DOS头指示的`e_lfanew`偏移处，是一个DWORD值（通常是`0x00004550`或字符串"PE\0\0"）。
   - 这个签名标志着PE文件的正式开始，操作系统在验证了这个签名后，知道接下来的内容遵循PE文件格式规范。

3. **NT头（IMAGE_NT_HEADERS）**：
   - 包括两个主要子结构：`IMAGE_FILE_HEADER`和`IMAGE_OPTIONAL_HEADER32`（对于PE32格式）或`IMAGE_OPTIONAL_HEADER64`（对于PE32+格式）。
   - `IMAGE_FILE_HEADER`：
     - 描述了文件的基本属性，如目标机器类型、文件类型（如exe、dll）、对象文件数量、时间戳、符号表位置等。
     - 包含`NumberOfSections`字段，表示文件中包含的节（section）数量。

- `IMAGE_OPTIONAL_HEADER32`：
     - 提供了文件在内存中的加载和执行所需的重要信息，如：
       - **ImageBase**：期望的内存加载基地址。
       - **SectionAlignment** 和 **FileAlignment**：定义了节在文件和内存中的对齐要求。
       - **SizeOfImage**：整个映像在内存中的大小。
       - **EntryPoint**：程序执行的入口点（函数地址）。
       - **Subsystem**：指示程序运行所需的子系统环境（如GUI、控制台等）。
       - **DllCharacteristics**：描述DLL特性（如是否支持NX保护、ASLR等）。
       - **DataDirectory**：一组条目，指向文件中的不同数据区域，如导入表、导出表、资源、重定位信息等。

- 对于PE32+格式（64位PE文件），使用`IMAGE_OPTIONAL_HEADER64`代替，它在保留大部分相同信息的同时，增加了对64位寻址的支持。

4. **节表（Section Table）**：
   - 紧跟在NT头之后，包含一系列`IMAGE_SECTION_HEADER`结构。
   - 每个结构描述了一个节（如`.text`、`.data`、`.rdata`等）的属性，包括名称、虚拟大小、在文件中的大小、文件偏移、内存中的相对虚拟地址（RVA）、原始数据偏移等。
   - 节表提供了关于文件内部各个逻辑部分的详细布局信息，这对于加载器进行内存映射和访问文件中的特定数据至关重要。

综上所述，理解PE32文件头的关键在于认识到它是一个多层结构，包含了确保PE文件正确识别、加载和执行所需的各种元数据。从DOS头开始，通过PE签名找到NT头，进而解析出文件的总体布局、入口点、内存映射要求以及节表信息。这些信息共同构成了操作系统在处理PE文件时不可或缺的知识基础。