[PEview] PE파일 구조 분석

[PE파일을 보게 해주는 PEview]

 

IMAGE_DOS_HEADER

• DOS Header

 1.e_magic(DOS signature) 

    -4D 5A / MZ

 2.e_lfanew(NT Header)의 시작주소

    -E0 00 00 00 / 000000E0

 

 

 

MS-DOS Stub Program

• DOS stub

 특징

 1.있어도 되나 없어도 됨

 2.크기가 정해져 있지 않아 악성 코드를 심기도 함

 3.어셈블리어 코드와 This program cannot be run dos mode라는 문자열이 있음

 4.DOS모드에서 해당 문자열 출력 후 종료

 *

MAGE-DOS-HEADER 부터  NT-Header구조체 전까지

 

   IMAGE_NT_HEADER

• NT_Header

         구조체  3개의 멤버  Signature - File Header - Optional Header

 

 

 

 

 

1.Signature

2.File Header

파일의 계략적인 속성을 알려주는 구조체

 

 

3.Optional Header

PE 헤더 구조체 중 가장 크기가 큼