Glossaire
En-tête optionnel (optional header)
L'en-tête PE qui indique au chargeur Windows comment mapper et lancer l'image : PE32 ou PE32+, point d'entrée, base, sous-système, flags.
Malgré son nom, l'en-tête optionnel est obligatoire pour les exécutables. Sa valeur magique indique si le fichier est au format PE32 (0x10b) ou PE32+ (0x20b). Il contient AddressOfEntryPoint, ImageBase, l'alignement des sections et du fichier, SizeOfImage, le CheckSum, le Subsystem (GUI, console, pilote natif, EFI) et DllCharacteristics — les flags qui demandent l'ASLR (DYNAMIC_BASE), le DEP (NX_COMPAT) et Control Flow Guard (GUARD_CF).
Il se termine par 16 répertoires de données (adresse et taille des tables d'imports, d'exports, de ressources, de certificats, de débogage, TLS, load-config, .NET et autres). En triage forensique, l'absence de mesures de protection et un checksum périmé sont des signes courants qui « méritent un coup d'œil » ; voir le guide du format PE.