debug/pe 读取 .exe panic 是因要求完整未截断的原始 PE 映像且必须以 MZ 头开头；常见错误包括读取不全、未检查 err、文件被加壳或为自解压归档；应先验证 MZ 标志，再用 os.ReadFile 全量读取并检查 pe.ErrNotPE。
为什么直接用 debug/pe 读取 .exe 文件会 panic: "not a valid PE file"
因为 debug/pe 要求输入数据必须是完整的、未截断的 PE 文件映像（即磁盘上原始字节），且开头必须是 DOS 头（MZ 标志）。常见错误是：读取时只读了前几个 KB、用了 os.Open 但没检查 err、或文件被压缩/加壳/资源嵌入后破坏了 PE 结构。另外，某些安装包（如 Inno Setup 打包的 exe）本质是自解压归档，不是合法 PE，pe.NewFile 会直接返回 nil, err。
实操建议：
- 先用
hexdump -C your.exe | head -n 1确认开头是00000000 4d 5a 90 00 03 00 00 00 04 00 00 00 ff ff 00 00 |MZ..............| - 用
ioutil.ReadFile（Go 1.16+ 推荐os.ReadFile）一次性读全文件，别用bufio.Reader或分块读 - 检查返回的
*pe.File是否为nil，错误是否为pe.ErrNotPE—— 这比直接 panic 更可控
如何安全提取 PE 的入口点、架构和子系统信息
debug/pe 把关键元数据藏在 File.Header 和 File.OptionalHeader 里，但字段名和 Windows SDK 不完全对应，容易看错。比如 OptionalHeader.MajorLinkerVersion 是链接器版本，不是操作系统版本；真正的 CPU 架构由 File.Machine 决定，需比对常量：pe.IMAGE_FILE_MACHINE_AMD64 或 pe.IMAGE_FILE_MACHINE_I386。
实操建议：
- 入口点地址是
f.OptionalHeader.AddressOfEntryPoint，但这是 RVA（相对虚拟地址），不是文件偏移 —— 若需定位到文件字节位置，得用f.SectionOffset(rva) - 子系统（GUI/CUI）在
f.OptionalHeader.Subsystem，值为pe.IMAGE_SUBSYSTEM_WINDOWS_CUI或pe.IMAGE_SUBSYSTEM_WINDOWS_GUI - 32/64 位判断不能只看
f.Is64Bit()，某些混合 PE（如 WoW64）可能返回 false 但实际含 64 位代码段，应结合f.Machine和f.OptionalHeader.Magic（0x20b表示 PE32+）
解析导入表（Import Table）时为何找不到任何 DLL 或函数
因为 debug/pe 不自动解析导入表内容，它只提供原始数据结构指针。你拿到的是 f.ImportDirectory（指向 IMAGE_IMPORT_DESCRIPTOR 数组的 RVA），但数组本身需手动解引用，且每个描述符里的 Name（DLL 名 RVA）、FirstThunk（IAT RVA）都得再调用 f.ReadSectionData 或 f.ReadImageBytes 拆解。
实操建议：
- 先确认
f.ImportDirectory != nil，再遍历直到遇到全零的IMAGE_IMPORT_DESCRIPTOR（PE 规范要求以空项结尾） - DLL 名字要从
f.String(f.ReadUint32(…))解出，不能直接string(f.ReadImageBytes(nameRVA, 32))—— 那会读到乱码或截断 - 函数名在导入名称表（INT）中，地址由
OriginalFirstThunk给出，若为 0 则回退到FirstThunk；每个条目是uint32（32 位）或uint64（64 位），高位为 1 表示序号导入（ordinal），需用uint32(val) & 0x80000000判断
为什么用 debug/pe 修改 PE 字段后文件无法运行
debug/pe 是只读解析库，不提供重写能力。所有字段修改（如改入口点、加节、打补丁）都需手动计算新校验和、重写 DOS 头、调整节对齐（File.OptionalHeader.FileAlignment）、更新校验和（pe.CheckSum 函数可算，但必须传入完整文件字节切片）—— 少一步就导致 Windows 加载器拒绝执行。
实操建议：
- 别试图在内存里改
f.OptionalHeader然后写回 —— 它只是副本，不影响原始字节 - 修改后必须重新计算并写入
OptionalHeader.CheckSum，否则签名验证失败（尤其在启用了驱动签名强制的系统上） - 新增节或扩大节大小时，必须确保新数据落在
FileAlignment对齐边界上，否则LoadLibrary会报ERROR_BAD_EXE_FORMAT
PE 格式细节多、容错低，哪怕一个字节的 RVA 算错，整个文件就变成不可加载的数据块。动手前先用 objdump -x 或 CFF Explorer 对照原始结构，比硬猜更可靠。
