Glosario
Cabecera opcional (optional header)
La cabecera PE que indica al cargador cómo proyectar e iniciar la imagen: PE32 o PE32+, punto de entrada, base, subsistema, checksum y directorios de datos.
Pese a su nombre, la cabecera opcional es obligatoria en los ejecutables. Su valor mágico indica si el archivo es PE32 (0x10b) o PE32+ (0x20b). Contiene AddressOfEntryPoint, ImageBase, la alineación de secciones y de archivo, SizeOfImage, el CheckSum, el Subsystem (GUI, consola, driver nativo, EFI) y DllCharacteristics, los indicadores que solicitan ASLR (DYNAMIC_BASE), DEP (NX_COMPAT) y Control Flow Guard (GUARD_CF).
Termina con 16 directorios de datos (dirección y tamaño de las tablas de importaciones, exportaciones, recursos, certificados, depuración, TLS, configuración de carga, .NET y otras). En el triaje forense, la ausencia de mitigaciones y una suma de comprobación desactualizada son señales habituales de que algo merece un vistazo; consulte la guía del formato PE.