每个PE文件是以一个DOS程序开始的，有了它，一旦程序在DOS下执行，DOS就能识别出这是有效的执行体，然后运行紧随MZ  header之后的DOS stub (DOS块）。

平常把 DOS MZ头与 DOS stub 合称为DOS文件头。

PE文件的第一个字节起始于一个传统的MS-DOS头部，被称作 IMAGE_DOS_HEADER  。其IMAGE_DOS_HEADER结构如下所示：

typedef struct _IMAGE_DOS_HEADER {  // DOS下的.EXE文件头
USHORT e_magic;         // 魔数
USHORT e_cblp;          // 文件最后一页的字节数
USHORT e_cp;            // 文件的页数
USHORT e_crlc;          // 重定位
USHORT e_cparhdr;       // 段中头的大小
USHORT e_minalloc;      // 需要的最少额外段
USHORT e_maxalloc;      // 需要的最多额外段
USHORT e_ss;            // 初始的(相对的)SS寄存器值
USHORT e_sp;            // 初始的SP寄存器值
USHORT e_csum;          // 校验和
USHORT e_ip;            // 初始的IP寄存器值
USHORT e_cs;            // 初始的(相对的)CS寄存器值
USHORT e_lfarlc;        // 重定位表在文件中的地址
USHORT e_ovno;          // 交叠数
USHORT e_res[4];        // 保留字
USHORT e_oemid;         // OEM识别符(用于e_oeminfo成员)
USHORT e_oeminfo;       // OEM信息; e_oemid中指定的
USHORT e_res2[10];      // 保留字
LONG   e_lfanew;        // 新exe头在文件中的地址
} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

其中有两个字段比较重要，分别是e_magic和e_lfanew.e_magic字段（一个字大小）需要被设置为值5A3Dh,这个值有个#define,名为IMAGE_DOS_SINGNATURE,ASCII表示法里，它的ASCII值为“MZ”，是MS-DOS的最初创建者之一Mark  Zbikowski字母的缩写。e_lfanew字段是真正的PE文件头的相对偏侈(RVA)，其指出真正PE头的文件偏移位置，它点用4个字节，位于文件开始偏移3Ch字节中。

用十六进制编辑器（WinHex Hex Workshop等带偏移显示的尤佳）打开一个32位PE程序，定位在文件起始位置处，此处就是MS-DOS头部，如图：

                               查看PE文件 MS-DOS 头部

文件第一个字符：”MZ”就是e_magic字段。偏移3Ch就是e_lfanew的值，显示为”B0000000″.。由于 Intel CPU属于Little-Endian类（逆序），字符储存时低位在前，高位在后，将次序恢复后，e_lfanew的值为000000B0h，这个值就是真正的PE文件头偏移量。

当PE文件储存在磁盘上时，某个数据的位置相对于文件头的偏移量，称为文件偏移地址（ File Offset）或物理地址(RAW Offset）。文件偏移地址从PE文件的第一个字节开始计数，起始值为0。用十六进制工具（例如：Hex Workshop 、WinHex等）打开文件显示的地址就是文件偏移地址。

在可执行文件中，有许多地方需要指定内存中的地址。例如，引用全局变量时，需要指定它的地址。PE文件尽管有一个首选的载入地址（基地址），但是它们可以载入到进程空间的任何地方，所以不能依赖于PE的载入点。由于这个原因，必须有一个方法来指定地址而不依赖于PE载入点的地址。

为了在PE文件中避免有确定的内存地址，出现了相对虚拟地址（Relative Virtual  Adderss,简称RVA）概念。RVA只是内存中的一个简单的相对于PE文件载入地址的偏移位置，它是一个“相对”地址，或称为“偏移量”。例如，假设一个EXE文件从地址400000h处载入，并且它的代码区块开始于401000h，代码区块的RVA将是：

目标地址 401000h-载入地址 400000h=RAV 1000h

将一个RVA换成真实的地址，只是简单地翻转这个过程：将实际的载入地址加上RVA即可得到实际的内存。顺便说一下，在PE用语里，实际的内存地址被称作虚拟地址（Virtual Address，简称VA），另外也可以把虚拟地址想象为加上首选载入地址的RVA。不要忘了前面得到的载入地址等同于模块句柄。它们之间的关系如下：

虚拟地址 (VA) =基础 (ImageBase）+ 相对虚拟地址（RVA）

当PE文件通过windows加载器被装入内存后，内在中的版本被称作模块（mode）。映射文件的起始地址被称为模块句柄(hMode），可以通过模块句柄访问内存中其他的数据结构。这个初始内存地址也称为基地址（Image Base）。

基地址的值是由PE文件本身设定的。按照默认设置，用Visual C++建立的EXE文件基地址是00400000h，DLL文件基地址是10000000h。下面看个例子用LordPE打开一个EXE文件，注意红色框内显示的是这个程序的基地址，可以看出这个程序的基地址是按照默认设置的。再来看下DLL文件同样也是用LordPE来打开它看下ImageBase这里也是按照默认设置的。其实，可以在创建应用程序的EXE文件时改变这个地址，方法是在链接应用时使用链接程序/BASE选项，或者链接后通过REBASE应用程序进行设置。