PE文件中偏移量为0x3c的PE头的指针是否始终设置为0x80？

Question

PE文件中偏移量为0x3c的PE头的指针是否始终设置为0x80？

我想知道为什么这个指针会改变。我想DOS标题和存根没有改变，因为它们是第一次写入。

PE-header在这些DOS工件之后直接启动，那么PE指针是否始终设置为0x80？如果不是，为什么？

Answer 1

否，则在偏移为0x3C PE-头 - 这是IMAGE_DOS_HEADER.e_lfanew其可以是任何值> = 0x40的

Answer 2

许多程序具有其在DOS存根后所附，由推NT标头向下一个Rich signature可变金额。

它也完全可以使用不同的DOS存根，或根本没有。它不需要打印“这个程序不能在DOS模式下运行”，你可以在那里放一个小型的DOS游戏，一个硬盘滑动器，打印完全不同的东西，无论你想要什么。

你甚至可以，如果你小心，overlap the NT header with the DOS header，因此使用偏移量< 0x40。这甚至不是太难，因为DOS标题的唯一部分是e_lfanew和“MZ”，其他所有内容都可以是使NT标题起作用的必要条件。你只需要将e_lfanew与可以安全地拥有该值的NT标头的一部分对齐。