アレ用の何か

PEファイルフォーマットって何？

　PEファイルフォーマットは Windows のローダが認識してくれる実行可能ファイルのフォーマットの一つです。「Windows のローダが認識してくれる実行可能ファイル」というのは拡張子が EXE, DLL, OCX, VxD などのファイルのことです。
　実行可能なのは EXE だけだと思うかもしれませんが、起動可能と実行可能はまた別の意味ということです。まぁ、そういった誤解を避けるために実行可能ファイルのことを一般的にイメージファイルと呼んでいるんですが。もちろん画像ファイルのことではなく、「メモリイメージ」をあらわしたファイルという意味だそうで。仕様書ではこんな説明がされています。

Executable file: either a .EXE file or a DLL. An image file can be thought of as a“memory image.”The term “image file” is usually used instead of “executable file,” because the latter sometimes is taken to mean only a .EXE file.

PE ファイルフォーマットの構造

MS-DOS ヘッダ + MS-DOS Real－Mode Stub Program

　PE ファイルの先頭には「MS-DOS ヘッダ」と「MS-DOS Real-Mode Stub Program」があります。これらは Windows の前身である MS-DOS と互換性をとるためだけのものであり、2つのフィールドを除いて Windows では使用されません。
　MS-DOS で Windows 用のプログラムを起動すると、「This program cannot be run in DOS mode.」なんて画面に表示されますが、そのメッセージを出すために使われるヘッダおよびコード部分が MS-DOS ヘッダと、Real-Mode Stub Program です。Real-Mode Stub Program のサイズに特に制限はありません(MS-DOSで扱えるサイズまで)。つまり、このヘッダと Stub Program 次第では MS-DOS と Windows で同じ動作をするようなプログラムを作ることができます(やる意味はありませんが)。

MS-DOS ヘッダ は WinNT.h で以下のように定義されています。

WinNT.h

typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
    WORD   e_magic;                     // Magic number
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // File address of new exe header
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

NT ヘッダ

NT ヘッダはマジックナンバーとヘッダのかたまりで、 WinNT.h で以下のように定義されています。

WinNT.h

typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

#ifdef _WIN64
typedef IMAGE_NT_HEADERS64                  IMAGE_NT_HEADERS;
typedef PIMAGE_NT_HEADERS64                 PIMAGE_NT_HEADERS;
#else
typedef IMAGE_NT_HEADERS32                  IMAGE_NT_HEADERS;
typedef PIMAGE_NT_HEADERS32                 PIMAGE_NT_HEADERS;
#endif

シグネチャ

　このファイルが PE ファイルであることを示すシグネチャであり、値はマジックナンバー 0x50450000("PE\0\0") です。これが 0x50450000 でなかった場合は PEフォーマットではなく別のフォーマットである、ということです。各フォーマットのシグネチャは WinNT.h で以下のように定義されています。

WinNT.h

#define IMAGE_DOS_SIGNATURE                 0x4D5A      // MZ
#define IMAGE_OS2_SIGNATURE                 0x4E45      // NE
#define IMAGE_OS2_SIGNATURE_LE              0x4C45      // LE
#define IMAGE_NT_SIGNATURE                  0x50450000  // PE00

ファイルヘッダ

　COFF の説明でも出てきた IMAGE_FILE_HEADER です。とは言え、使われ方は COFF のときと若干異なります。

WinNT.h

typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;
    WORD    NumberOfSections;
    DWORD   TimeDateStamp;
    DWORD   PointerToSymbolTable;
    DWORD   NumberOfSymbols;
    WORD    SizeOfOptionalHeader;
    WORD    Characteristics;
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

#define IMAGE_SIZEOF_FILE_HEADER             20

オプショナルヘッダ

　オプショナルヘッダという名前のくせに必須のヘッダです。COFF では不要なことからオプショナルという名前がついたらしいです。
　フィールド数は多いものの重要な意味をもつフィールドはそんなに多くありません。重要なものにはリストで色をつけてあります。

WinNT.h

//
// Optional header format.
//

typedef struct _IMAGE_OPTIONAL_HEADER {
    //
    // Standard fields.
    //

    WORD    Magic;
    BYTE    MajorLinkerVersion;
    BYTE    MinorLinkerVersion;
    DWORD   SizeOfCode;
    DWORD   SizeOfInitializedData;
    DWORD   SizeOfUninitializedData;
    DWORD   AddressOfEntryPoint;
    DWORD   BaseOfCode;
    DWORD   BaseOfData;

    //
    // NT additional fields.
    //

    DWORD   ImageBase;
    DWORD   SectionAlignment;
    DWORD   FileAlignment;
    WORD    MajorOperatingSystemVersion;
    WORD    MinorOperatingSystemVersion;
    WORD    MajorImageVersion;
    WORD    MinorImageVersion;
    WORD    MajorSubsystemVersion;
    WORD    MinorSubsystemVersion;
    DWORD   Win32VersionValue;
    DWORD   SizeOfImage;
    DWORD   SizeOfHeaders;
    DWORD   CheckSum;
    WORD    Subsystem;
    WORD    DllCharacteristics;
    DWORD   SizeOfStackReserve;
    DWORD   SizeOfStackCommit;
    DWORD   SizeOfHeapReserve;
    DWORD   SizeOfHeapCommit;
    DWORD   LoaderFlags;
    DWORD   NumberOfRvaAndSizes;
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

セクションテーブルとセクションデータ

　オプショナルヘッダの直後には、セクションテーブルが続きます。基本的に COFF と同じです。

　セクションというのはコードや文字列リテラル、変数などその分類ごとに分けられた区画のことです。例えば、コードは読取専用で実行可能な特性をもつセクションに、文字列リテラルやリソースデータは読取専用のセクションに、グローバル変数は読み書き可能なセクションに、といった具合に分けられて配置されます。
　セクションの特性やデータへのオフセットなどの情報が収められているのがセクションヘッダで、セクションヘッダの配列がセクションテーブルになります。

WinNT.h

#define IMAGE_SIZEOF_SHORT_NAME              8

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];
    union {
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;
    } Misc;
    DWORD   VirtualAddress;
    DWORD   SizeOfRawData;
    DWORD   PointerToRawData;
    DWORD   PointerToRelocations;
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

#define IMAGE_SIZEOF_SECTION_HEADER          40

最後に