//这个结构体都是给16位程序看的，所以都是无用的，只有e_magic和e_lfanew有用，是例外
typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
    WORD   e_magic;                     // Magic number//MZ标志
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // File address of new exe header  偏移为0x3C，指向的是PE指纹(PE字符)所在的位置
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

//32位
typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature;//PE标识
    IMAGE_FILE_HEADER FileHeader;//IMAGE_FILE_HEADER子结构体（标准PE头）
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;//IMAGE_OPTIONAL_HEADER32子结构体（拓展PE头）
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
//64位
typedef struct _IMAGE_NT_HEADERS64 {
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER64 OptionalHeader;
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;
//32位和64位的区别只有PE拓展头

typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;//可以运行在什么样的CPU上 任意：0  
    //Intel 386以及后续（32位）：14C   宏：IMAGE_FILE_MACHINE_I386 
    //x64:8664   宏：IMAGE_FILE_MACHINE_AMD64
    WORD    NumberOfSections;//表示节的数量
    DWORD   TimeDateStamp;//编译器填写的时间戳(从1970年0时0分0秒开始算的秒数)，与文件属性里的创建修改时间无关
    DWORD   PointerToSymbolTable;//调试相关，苹果的pdb文件和exe文件是合二为一的，这里和下面那个字段是为了兼容其他系统的做准备的，微软本身并不使用（空想的野心无实际作用）
    DWORD   NumberOfSymbols;//调试相关
    WORD    SizeOfOptionalHeader;//决定了拓展PE头的大小，32位不修改的话默认0xE0，即十进制224，64位不修改的话，默认0xF0，即十进制240
    WORD    Characteristics;//记录当前PE文件属性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

//32位的拓展PE头结构
typedef struct _IMAGE_OPTIONAL_HEADER {
    //
    // Standard fields.标准字段，嵌入式拓展PE头同样的下面这6个字段，64位拓展PE头同样的下面5个字段
    //

    WORD    Magic;//PE32:10B   PE32+:20B 只读芯片(嵌入式设备)：0x107，最准确的用于判断是32位程序还是64位程序的字段(重点)
    BYTE    MajorLinkerVersion;//链接器主版本号（可用于参考平台和依赖，但不能信任）
    BYTE    MinorLinkerVersion;//链接器次版本号
    DWORD   SizeOfCode;//所有代码节的总和文件对齐后的大小，编译器填写的，无用
    DWORD   SizeOfInitializedData;//包含所有已经初始化数据的节的总数据文件对齐后的大小，编译器填写，无用
    DWORD   SizeOfUninitializedData;//包含未初始化数据的节的总数据文件对齐后的大小，编译器填写，无用
    //拓展PE头的第16个字节
    DWORD   AddressOfEntryPoint;//程序入口，相对整个PE文件起始位置（ImageBase）的偏移(重点)
    //上面字段简称EP，与之相关的还有个OEP表示的是原始入口点
    DWORD   BaseOfCode;//代码开始的基址，编译器填写，无用
    DWORD   BaseOfData;//数据开始的基址，编译器填写，无用

    //
    // NT additional fields.
    //
	//拓展PE头的第28个字节
    DWORD   ImageBase;//内存镜像基址(建议装载地址)，PE文件在内存中展开的首地址(重点)
    //上面这个字段，修改的话，由于很多内容是写在地址固定位置的，ImageBase修改的话，也要对他们进行修正，工作量大的话几乎是不可能的。（老师认为自动化不可能实现100%修正）；建议装载地址的意思是：如果这个地址没被占用并且合法有效（基于分页的首地址（页边界）并且不能是内核的地址）的就放这个地址，否则哪里有位置放哪里。
    DWORD   SectionAlignment;//内存对齐，在内存中对齐的大小，默认0x1000
    //上面这个字段可以改，但必须是按照操作系统的特性改，winXP的话可以按照4个字节改，而win7开始必须0x1000为单位改（即可以改为0x2000,0x3000等等）（因为一页为0x1000字节）,当然，想要程序正常运行后面也要相对应的调整
    //拓展PE头的第36个字节(重点)
    DWORD   FileAlignment;//文件对齐，通常是0x200，对齐的话一定要按照这个里面存的整数倍(重点)
    //上面这个对齐和编译器有关，某些高级编译器是0x1000和内存对齐一样
    WORD    MajorOperatingSystemVersion;//标识操作系统主版本号（这几个版本号也被OD原版参考了）
    WORD    MinorOperatingSystemVersion;//标识操作系统次版本号
    WORD    MajorImageVersion;//Pe文件自身的主版本号
    WORD    MinorImageVersion;//PE文件自身的次版本号
    WORD    MajorSubsystemVersion;//运行所需主子系统版本号(不能修改，否则会运行不了)
    WORD    MinorSubsystemVersion;//运行所需次子系统版本号
    DWORD   Win32VersionValue;//子系统版本的值，必须为0
    //拓展PE头的第56个字节
    DWORD   SizeOfImage;//内存中整个PE文件的映射的的内存对齐后的尺寸，所以可比实际的增大，必须是SectionAlignment(内存对齐)的整数倍，该字段可以修改，但修改不能多不能少还要对齐，否则运行出错(重点)
    //拓展PE头的第60个字节
    DWORD   SizeOfHeaders;//DOS头加上PE头加上节表按照文件对齐后的大小，否则加载会出错(重点)
    DWORD   CheckSum;//校验和，一些系统文件有要求(sys)，用来判断文件是否被修改(两个字节两个字节相加，最后再加上文件的长度得到的值就是校验和)(重点)
    WORD    Subsystem;//子系统  驱动程序(1) 图像界面(2) 控制台,DLL(3) XBOX(14)
    WORD    DllCharacteristics;//文件特性 别被名字误导，不是针对DLL文件的,如果是0x2000就是基于WDM的驱动程序。
    DWORD   SizeOfStackReserve;//初始化时保留的栈大小
    DWORD   SizeOfStackCommit;//初始化时实际提交的栈的大小
    DWORD   SizeOfHeapReserve;//初始化时保留的堆大小
    DWORD   SizeOfHeapCommit;//初始化时实际提交堆的大小
    //保留和提交的区别，提交的是实际提供了物理空间的，马上可以用，保留是被分配了但并没有物理空间存在直到被使用才分配物理空间。"保留"就是最多可以"提交"多少，大型保留区域的副作用是应用程序可能会导致系统耗尽物理内存。上面四个字段都可以修改，但必须该空间大小系统能提供
    DWORD   LoaderFlags;//调试相关，操作系统保证不用他，用于程序运行后写自定义数据（被淘汰了）
    DWORD   NumberOfRvaAndSizes;//目录项数目，当前的程序会用到各种表，这个值告诉我们有多少个表。一般都是16个表
    //前面的结构占96个字节
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];//16个IMAGE_DATA_DIRECTORY DataDirectory结构体数组，共占16*8=128个字节，里面存的是各种表。大部分情况下是16个结构体的数组，但实际上有多少个结构体取决于NumberOfRvaAndSizes字段
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

//64位的拓展PE头结构
typedef struct _IMAGE_OPTIONAL_HEADER64 {
    WORD        Magic;
    BYTE        MajorLinkerVersion;
    BYTE        MinorLinkerVersion;
    DWORD       SizeOfCode;
    DWORD       SizeOfInitializedData;
    DWORD       SizeOfUninitializedData;
    DWORD       AddressOfEntryPoint;
    DWORD       BaseOfCode;
    ULONGLONG   ImageBase;
    DWORD       SectionAlignment;
    DWORD       FileAlignment;
    WORD        MajorOperatingSystemVersion;
    WORD        MinorOperatingSystemVersion;
    WORD        MajorImageVersion;
    WORD        MinorImageVersion;
    WORD        MajorSubsystemVersion;
    WORD        MinorSubsystemVersion;
    DWORD       Win32VersionValue;
    DWORD       SizeOfImage;
    DWORD       SizeOfHeaders;
    DWORD       CheckSum;
    WORD        Subsystem;
    WORD        DllCharacteristics;
    ULONGLONG   SizeOfStackReserve;
    ULONGLONG   SizeOfStackCommit;
    ULONGLONG   SizeOfHeapReserve;
    ULONGLONG   SizeOfHeapCommit;
    DWORD       LoaderFlags;
    DWORD       NumberOfRvaAndSizes;
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER64, *PIMAGE_OPTIONAL_HEADER64;
//和32位比少了几个成员
//然后ULONGLONG那几个成员由4字节变成了8字节

typedef unsigned __int64 ULONGLONG;//无符号64位int

typedef struct _IMAGE_ROM_OPTIONAL_HEADER {
    WORD   Magic;
    BYTE   MajorLinkerVersion;
    BYTE   MinorLinkerVersion;
    DWORD  SizeOfCode;
    DWORD  SizeOfInitializedData;
    DWORD  SizeOfUninitializedData;
    DWORD  AddressOfEntryPoint;
    DWORD  BaseOfCode;
    DWORD  BaseOfData;
    DWORD  BaseOfBss;
    DWORD  GprMask;
    DWORD  CprMask[4];
    DWORD  GpValue;
} IMAGE_ROM_OPTIONAL_HEADER, *PIMAGE_ROM_OPTIONAL_HEADER;

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];//ASCII字符串，可自定义，只占8个字节
    union {//Misc双字 是该节在没有对齐前的真实尺寸，实际的大小（包含了未初始化变量在内存中占的位置），该值可以不准确
            DWORD   PhysicalAddress;//实际上也可以表示物理地址的意思，但是往往表示得就是在虚拟内存中占用的未对齐前的真实大小
            DWORD   VirtualSize;
    } Misc;
    DWORD   VirtualAddress;//在内存中的偏移地址，加上imageBase才是在内存中的真正地址
    DWORD   SizeOfRawData;//节在文件中对齐后的大小（实际上是磁盘上初始化数据文件对齐后的大小）
    DWORD   PointerToRawData;//节区在文件中的起始偏移地址
    DWORD   PointerToRelocations;//调试相关（除了调试相关的都是重点）
    DWORD   PointerToLinenumbers;//调试相关
    WORD    NumberOfRelocations;//调试相关
    WORD    NumberOfLinenumbers;//调试相关
    DWORD   Characteristics;//节的属性
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];

// Directory Entries目录入口：结构体数组每个下标对应的含义
//虽然有16个表，但真正有用的就4个表，导出表，导入表，资源表，重定位表
#define IMAGE_DIRECTORY_ENTRY_EXPORT          0   // Export Directory导出表
#define IMAGE_DIRECTORY_ENTRY_IMPORT          1   // Import Directory导入表
#define IMAGE_DIRECTORY_ENTRY_RESOURCE        2   // Resource Directory资源表
#define IMAGE_DIRECTORY_ENTRY_EXCEPTION       3   // Exception Directory异常表
#define IMAGE_DIRECTORY_ENTRY_SECURITY        4   // Security Directory
#define IMAGE_DIRECTORY_ENTRY_BASERELOC       5   // Base Relocation Table重定位表
#define IMAGE_DIRECTORY_ENTRY_DEBUG           6   // Debug Directory
//      IMAGE_DIRECTORY_ENTRY_COPYRIGHT       7   // (X86 usage)
#define IMAGE_DIRECTORY_ENTRY_ARCHITECTURE    7   // Architecture Specific Data
#define IMAGE_DIRECTORY_ENTRY_GLOBALPTR       8   // RVA of GP
#define IMAGE_DIRECTORY_ENTRY_TLS             9   // TLS Directory（dll入口之前执行，可用于反调试）
#define IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG    10   // Load Configuration Directory
#define IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT   11   // Bound Import Directory in headers
#define IMAGE_DIRECTORY_ENTRY_IAT            12   // Import Address Table
#define IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT   13   // Delay Load Import Descriptors
#define IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR 14   // COM Runtime descriptor

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;//表在哪里，记录的是RVA
    DWORD   Size;//表有多大(包含对应表结构中的所有连带结构占的空间),但只是个参考值
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

//40字节
typedef struct _IMAGE_EXPORT_DIRECTORY {
    DWORD   Characteristics;//未使用
    DWORD   TimeDateStamp;//时间戳(与标准PE头里的时间戳是一样的,记录当前dll什么时候生成的)
    WORD    MajorVersion;//未使用
    WORD    MinorVersion;//未使用
    DWORD   Name;//指向该导出表文件名字符串FOA，辅助信息，修改还能运行(重要)
    DWORD   Base;//导出函数起始序号（是在构建PE文件的时候写得导出表的那里面的序号）
    DWORD   NumberOfFunctions;//所有导出函数的个数
    DWORD   NumberOfNames;//以函数名字导出的函数个数
    DWORD   AddressOfFunctions;     //导出函数地址表RVA(存指向函数的指针)
    DWORD   AddressOfNames;         //导出函数名称表RVA（存指向函数名的指针，函数名遇0表示结束）
    DWORD   AddressOfNameOrdinals;  //导出函数序号表RVA（实际是下标）
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

//功能是检索指定的动态链接库(DLL)中的输出库函数地址
FARPROC GetProcAddress(
    HMODULE hModule,//DLL模块句柄（实际上就是当前的PE文件在内存中展开的起始位置）
    LPCSTR lpProcName//函数名（可以写函数名NULL结尾的字符串的指针，也可以写序号）如果此参数是一个序号，它必须在低字，高字必须为0。
);
//返回值：
//如果函数调用成功，返回值是DLL中的输出函数地址。
//如果函数调用失败，返回值是NULL。得到进一步的错误信息，调用函数GetLastError。

//共占20个字节，每个该结构体描述一个导入的PE文件
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD   Characteristics;            // 0 for terminating null import descriptor
        DWORD   OriginalFirstThunk;         // RVA to original unbound IAT (PIMAGE_THUNK_DATA)  RVA，指向IMAGE_THUNK_DATA结构数组
    };
    DWORD   TimeDateStamp;                  // 0 if not bound,时间戳（无用）
                                            // -1 if bound, and real date\time stamp
                                            //     in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
                                            // O.W. date/time stamp of DLL bound to (Old BIND)

    DWORD   ForwarderChain;                 // -1 if no forwarders（无用）
    DWORD   Name;//RVA，指向DLL名字，该名字以0结尾
    DWORD   FirstThunk;                     // RVA to IAT (if bound this IAT has actual addresses)     RVA，指向IMAGE_THUNK_DATA结构数组（在文件中和OriginalFirstThunk一样，但在内存中不一样指向的内容不一样）
} IMAGE_IMPORT_DESCRIPTOR;
//typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;

//该结构体只占4个字节,每个该结构体描述一个函数
typedef struct _IMAGE_THUNK_DATA32 {
    union {
        PBYTE  ForwarderString;//无用
        PDWORD Function;//无用
        DWORD Ordinal;//序号
        PIMAGE_IMPORT_BY_NAME  AddressOfData;//指向IMAGE_IMPORT_BY_NAME
    } u1;
} IMAGE_THUNK_DATA32;
//64位
typedef struct _IMAGE_THUNK_DATA64 {
    union {
        ULONGLONG ForwarderString;  // PBYTE 
        ULONGLONG Function;         // PDWORD
        ULONGLONG Ordinal;
        ULONGLONG AddressOfData;    // PIMAGE_IMPORT_BY_NAME
    } u1;
} IMAGE_THUNK_DATA64;

typedef struct _IMAGE_IMPORT_BY_NAME {
    WORD    Hint;//可能为空，编译器决定；若不为空，则是函数在导出表中的索引（注意不是导出序号）
    BYTE    Name[1];//函数名称，以0结尾（只留第一个名字的第一个字符，因为名称长度并不确定，只是作为一个结构体中这个字段调用的接口）
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

//实际上是一个物理页（4KB）创建一个重定位块
typedef struct _IMAGE_BASE_RELOCATION {
    DWORD   VirtualAddress;//重定位块公用地址（为了减少储存重定位块的空间）,RVA
    DWORD   SizeOfBlock;//重定位块大小，字节为单位
//  WORD    TypeOffset[1];//后面直接接当前重定位块，若干个大小为两个字节的元素
} IMAGE_BASE_RELOCATION;