为什么Linux内核原始二进制Image会被识别为Windows可执行格式？

识别异常的原因 #

这个现象是ARM64 Linux内核为兼容EFI启动场景特意设计的特性，不属于识别错误或文件异常，核心原因如下：

• 你对PE格式识别逻辑的认知存在小偏差：除了文件开头2字节4D 5A（即MZ魔术头）的特征外，现在多数文件类型识别工具、逆向工具都会扫描文件内部的有效PE签名偏移，并不完全依赖开头的MZ特征。
• 你贴出的aarch64内核头中最后一个字段res5，本身就是预留来存储PE COFF头偏移地址的专用字段。ARM64架构的未压缩Image内核编译时，会自动在内核文件的对应偏移位置嵌入完整的PE/COFF结构，用来支持EFI固件直接加载内核启动。
• Cutter、Linux桌面文件管理器内置的识别规则，都会匹配到内核文件内嵌入的PE结构，因此会将其判定为pe64格式、标注为Windows可执行文件。

你可以通过file命令验证该特征：执行file 你的内核Image路径，输出结果会同时包含Linux kernel ARM64 boot executable和PE32+ executable两种格式描述，确认是内核的兼容设计导致的识别结果。

内容的提问来源于stack exchange，提问作者Rafaelo