在十六进制编辑器中找不到 COFF 文件头

Question

偏移量“0x3c”（来自 win32 文档）是签名“PE[=17=][=17=]”的位置，因此机器类型必须在它旁边。

但是在接下来的 2 个十六进制值中（因为它表示大小 2）“4C 01”在 win32 文档中不匹配

view in hex editor

Answer 1

IMAGE_FILE_HEADER 跟在签名 PE[=10=][=10=] 之后。第一个 WORD 实际上持有目标 Machine。 IMAGE_FILE_MACHINE_I386 的值为 0x014c（以小端字节顺序存储为 4C 01）。这与您的观察结果一致。

十六进制转储表示具有 x86 目标代码的图像，并且符合非正式的 PE Format 规范。