PE格式学习视频教程[共27课+源文件]

PE 格式（Portable Executable）是 Windows 下 exe、dll、sys 这些文件的骨架结构。想搞逆向、做免杀分析、写壳或者单纯想弄清楚一个 exe 双击之后系统到底读了哪些字节，绕不开这门课。这套 27 课的视频教程配了源文件，属于典型的"体量不大、含金量集中在结构解析上"的资料，适合当工具书式的收藏，不适合当背景音刷完。

课纲的价值在于"从文件头讲到节表"这条主线

判断一套 PE 教程值不值得存，看它有没有把 DOS 头、NT 头、可选头、节表、节区数据这条链讲完整。很多入门视频只讲怎么用工具看导入表，跳过偏移计算和 RVA 到文件偏移的换算，学到后面全是夹生饭。这套课把结构拆得比较细，源文件的存在意味着可以自己动手改字段、观察加载器行为，这比纯看演示强得多。收藏的时候建议顺手把每课对应的结构体定义和关键偏移值标在笔记里，后面翻的时候不用重新拉进度条。

哪些章节值得精看，哪些可以快速过

• 文件头部分要慢看。DOS 头里那个指向 PE 头的小字段、NT 头的签名和机器类型，是后面所有解析的入口，这里糊弄过去，导入表地址算不对就找不到原因。
• 可选头里的对齐和镜像基址值得反复看。节对齐、文件对齐、ImageBase 这几个值决定了 PE 在磁盘和内存里长得不一样，这是理解重定位和加载过程的关键，也是面试和实操里最容易露怯的点。
• 节表和节区属性可以结合源文件动手改。把某个节的属性位从只读改成可写、加一个新区段，观察工具报什么错，比背属性标志位有效。
• 导入表、导出表、重定位表按需精看。如果你主要做逆向分析，导入导出表要能手工解析；如果只是了解加载流程，看演示跟上思路即可。
• 靠后的杂项部分可以当索引存着。用到的时候再回来查，不必一次性啃完。

源文件比视频更值得花时间

这套资料里真正稀缺的是随课的源文件。视频是线性播放，看一遍容易产生"我懂了"的错觉；源文件配合十六进制编辑器才是检验懂没懂的地方。建议的用法是：看完一节，把对应文件用十六进制工具打开，按课里讲的偏移手动定位字段，改一个值、存盘、再用 PE 查看工具验证结果。这个过程做上四五个文件，PE 结构就基本长在脑子里了。如果只存视频不动源文件，这套资料的价值会打对折。

资料包怎么拆开用

别把它当一部连续剧从头看到尾。比较省时间的拆法是分三层：第一层只解决"能读懂 PE 结构图"，覆盖文件头和节表；第二层解决"能手工解析关键表"，重点是导入导出和重定位；第三层是用源文件做改造实验，改字段、加节、观察加载器反应。做逆向或安全方向的话，第一二层必须扎实；做 Windows 开发或只是想了解链接产物结构的，第一层够用，第二层选学。

适合谁，不适合谁

适合已经会一门编程语言、看得懂十六进制、想往逆向分析或 Windows 底层方向深入的人。也适合软考里涉及可执行文件结构这块内容的考生，当补充材料比教材直观。不适合完全零基础、连内存地址和文件偏移都分不清的初学者——这类内容前置知识缺一点就会卡住，建议先把汇编基础和 C 语言指针补上再回来。把这套课当工具箱而非课程，用的时候按需取用，收藏价值远高于追更价值。