在本文中， 我並不打算大講特講PE檔案的構成是什麼，每個欄位是什麼意思， 這些資料可以說在網上是浩瀚如海，到處都是的， 用google一搜， 開啟一看， 基本講解的都是大同小異。 由於pe檔案的結構比較龐大， 結構中套結構， 有的結構多達30多個欄位， 光看這些欄位都讓人夠暈的， 在加上有的欄位是一個32位的DWORD值， 而每一位都有其特殊的含義，這樣， 光把每個欄位的含義看一遍過來， 估計也得2個小時。 而實際上， 這裡面很多欄位， 我們都不需要去了解， 也不需要去關注， 掌握那些關鍵欄位就行了，所以如果大家有那個欄位不懂的，可以上網搜一下。這次講一下是否PE格式檔案的判斷。

（這個圖我是從魚C論壇轉的）。

首先要明確PE檔案格式的特徵是什麼，這樣我們才能根據這個特徵來判斷是否是PE檔案。PE檔案的格式如上圖所示，那麼我們怎麼判斷呢？PE檔案有DOS檔案頭和PE檔案頭，在DOS檔案頭前兩個位元組是“MZ",PE檔案頭的前4個位元組是“PE”,所以我們可以根據這個特徵來進行判斷，我們怎麼找到“MZ”和“PE”位置呢，PIMAGE_DOS_HEADER的e_magic欄位表示“MZ”,PIMAGE_DOS_HEADER的e_lfanew表示PE頭相對於檔案的偏移。（我用的VS2012編譯環境）

程式碼如下：

/************************************************************************/
/* 
功能：判斷是否是PE檔案。
引數：指向存放檔案資料記憶體首地址
返回：TRUE ;是PE檔案
	  FALSE:不是PE檔案
*/
/************************************************************************/
BOOL IsPEFile(LPVOID lpFileBuf)
{
	//獲取DOS頭並判斷"MZ"標誌
	PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)lpFileBuf;	
	//e_magic exe標誌 "MZ"
	if (IMAGE_DOS_SIGNATURE != pDos->e_magic)
		return FALSE;

	//獲取PE頭，並判斷"PE\0\0"標誌
	//e_lfanew PE頭相對於檔案的偏移地址
	size_t  stPEHeadAddr = (size_t)lpFileBuf + pDos->e_lfanew;
	PIMAGE_NT_HEADERS32 pNT = (PIMAGE_NT_HEADERS32)stPEHeadAddr;
	if (IMAGE_NT_SIGNATURE != pNT->Signature)
	{
		return FALSE;
	}
	return TRUE;
}
 

int _tmain(int argc, _TCHAR* argv[])
{

	//檔案控制代碼
	HANDLE hFile = INVALID_HANDLE_VALUE;
	//檔案路徑
	LPCTSTR strInPath = _T("G:\\15pb培訓課後作業\\01 VMView\\Debug\\VMView.exe");
	DWORD  dwSize = 0;
	PVOID  lpFillBuf = NULL;

	STARTUPINFO si = {0};
	GetStartupInfo(&si);
	PROCESS_INFORMATION pi = {0};
	if (!CreateProcess(											/* 建立除錯執行緒 */
		strInPath,	//可執行模組路徑
		NULL,													//命令列
		NULL,													//安全描述符
		NULL,													//執行緒屬性是否可繼承
		FALSE,													//否從呼叫程序處繼承了控制代碼
		DEBUG_ONLY_THIS_PROCESS | CREATE_NEW_CONSOLE,			//以“只”除錯的方式啟動
		NULL,													//新程序的環境塊
		NULL,													//新程序的當前工作路徑（當前目錄）
		&si,													//指定程序的主視窗特性
		&pi))													//接收新程序的識別資訊
	{
		printf("CreateProcess Failed!\n");
	}

	//獲取檔案控制代碼
	if (INVALID_HANDLE_VALUE == (hFile = CreateFile(strInPath,	//檔案路徑
		GENERIC_READ,											//訪問許可權
		FILE_SHARE_READ,										//共享模式
		NULL,													//安全描述符
		OPEN_EXISTING,											//建立標誌
		FILE_ATTRIBUTE_NORMAL,									//檔案標誌和屬性
		NULL)))													//臨時檔案控制代碼
	{
		return 0;
	}
	//獲取檔案大小
	if (INVALID_FILE_SIZE == (dwSize = GetFileSize(hFile,NULL)))
	{
		CloseHandle(hFile);
		return  0;
	}
	//開闢一塊記憶體用於存放檔案資料
	if ( NULL == (lpFillBuf =VirtualAlloc(NULL,dwSize,MEM_COMMIT,PAGE_EXECUTE_READWRITE)))
	{
		CloseHandle(hFile);
		return 0;
	}
	//把檔案資料讀取到記憶體中
	DWORD dwRet ;
	if (!ReadFile(hFile,lpFillBuf,dwSize,&dwRet,NULL))
	{
		CloseHandle(hFile);
		VirtualFree(lpFillBuf,0,MEM_RELEASE);
		return 0;
	}

	if (IsPEFile(lpFillBuf))
	{
		MessageBox(NULL,_T("該檔案是PE檔案"),_T("PE檔案格式判斷"),MB_OK);
	}
	else
	{
		MessageBox(NULL,_T("該檔案不是PE檔案"),_T("PE檔案格式判斷"),MB_OK);
	}
	VirtualFree(lpFillBuf,0,MEM_RELEASE);
	CloseHandle(hFile);
	_tsystem(_T("pause"));
	return 0;
}
 

通過以上就可以進行判斷了。

下面是一個可執行檔案的二進位制截圖，我把IMAGE_DOS_HEADER.e_magic,IMAGE_DOS_HEADER.e_lfanew和IMAGE_NT_HEADER.Signature標記出來了。