如何用Python的pefile库提取DOS stub原始字节及相关疑问

1. pefile是否支持直接提取DOS Stub原始字节？ #

pefile没有提供直接提取DOS Stub原始字节的内置方法，得自己写逻辑实现。

2. 手动提取DOS Stub的正确姿势（避开Rich Header干扰） #

DOS Stub起始偏移固定是0x40，但结束位置不能直接用e_lfanew（因为Rich Header可能插在DOS Stub和PE签名之间，e_lfanew指向的是Rich Header的起始，不是PE签名），正确步骤如下：

• 先从DOS头的0x3C偏移处读取4字节的e_lfanew值
• 从e_lfanew偏移开始往后搜索PE\0\0这个PE签名，找到它的实际起始偏移pe_sig_offset
• DOS Stub的结束位置就是pe_sig_offset - 1，所以DOS Stub的字节范围是从0x40到pe_sig_offset - 1
• 参考代码：

  import pefile
  
  def extract_dos_stub(file_path):
      pe = pefile.PE(file_path)
      e_lfanew = pe.DOS_HEADER.e_lfanew
      pe_sig = b'PE\x00\x00'
      
      with open(file_path, "rb") as f:
          # 从e_lfanew位置开始读一段数据找PE签名
          f.seek(e_lfanew)
          search_buf = f.read(0x1000)  # 足够覆盖Rich Header到PE签名的长度
          sig_pos = search_buf.find(pe_sig)
          if sig_pos == -1:
              raise ValueError("Failed to find PE signature")
          
          pe_sig_offset = e_lfanew + sig_pos
          # 提取DOS Stub
          f.seek(0x40)
          dos_stub = f.read(pe_sig_offset - 0x40)
          return dos_stub
  

3. DOS Stub有没有最大尺寸限制？ #

DOS Stub本身没有严格的硬性最大限制，但受e_lfanew字段的约束：

• e_lfanew是4字节无符号整数，理论上最大可以指向文件的0xFFFFFFFF偏移位置，也就是说DOS Stub的长度理论上可以达到这个偏移减去0x40
• 实际场景中，过大的DOS Stub只会增加文件体积，只要能正确找到PE签名，系统加载PE文件时不会因为DOS Stub过大报错。另外如果考虑DOS下执行这个Stub，那要受DOS内存模型的限制，但如果只是作为PE文件的附属部分，就没有实际限制。

4. 关于DOS头e_cp和e_cblp字段不可信的问题 #

这俩字段确实完全不能用来计算DOS Stub大小：

• 它们原本是描述DOS程序文件大小的（总字节数 = e_cp*512 + e_cblp），但很多PE文件会随意篡改这两个值，填入各种无意义的数字（比如你遇到的2、3、20050）
• 提取DOS Stub时，绝对不能依赖这两个字段的值，必须通过PE签名的实际位置来计算。

内容的提问来源于stack exchange，提问作者kasper