Glossar
Optional Header
Der PE-Header, der dem Windows-Loader sagt, wie das Image geladen und gestartet wird: PE32/PE32+, Entry Point, Subsystem, Flags, Datenverzeichnisse.
Trotz seines Namens ist der Optional Header für Executables Pflicht. Sein Magic-Wert gibt an, ob die Datei PE32 (0x10b) oder PE32+ (0x20b) ist. Er enthält AddressOfEntryPoint, ImageBase, Section- und File-Alignment, SizeOfImage, die CheckSum, das Subsystem (GUI, Konsole, nativer Treiber, EFI) und DllCharacteristics – die Flags, die ASLR (DYNAMIC_BASE), DEP (NX_COMPAT) und Control Flow Guard (GUARD_CF) anfordern.
Am Ende stehen 16 Datenverzeichnisse (Adresse und Größe der Import-, Export-, Ressourcen-, Zertifikats-, Debug-, TLS-, Load-Config-, .NET- und weiterer Tabellen). In der forensischen Triage sind fehlende Schutzmechanismen und eine veraltete Prüfsumme häufige „genauer ansehen“-Hinweise; siehe den Leitfaden zum PE-Format.