dllのファイルヘッダによる種類識別法

# はじめに
プログラムでdllのTargetPlatformを識別する処理を実装する必要が生じたため, ファイルヘッダを読んでそれを識別が可能かどうかを調査しました.

面倒だったので, そこまで詳細な調査は行ってません.  条件選定が不適切かもしれませんが, まぁ大丈夫でしょう.  
先駆者が居そうな気しかしませんが, そこは気にせず.

# TL;DR
- 基本的にはMachineの値で識別できる
- Machineの値が"0x014C"(I386)である場合は, 加えてCharacteristicsの値で識別する
    - x86の場合, 32BIT_MACHINEフラグ("0x0100")が立っている
    - AnyCPUの場合, 32BIT_MACHINEフラグ("0x0100")が下りている


# 前提知識
[Minoru Hatada, PE(Portable Executable)ファイルフォーマットの概要, Hatada's Home Page](http://shopping2.gmobb.jp/htdmnr/www08/mcc/doc/pe.html)
事前調査で, "PEヘッダを用いると判別が可能である"という知識を得られていたため, これを参考にします.


# 調査結果
今回は, 以下のdllファイルについて調査を行いました.
- [C#(net461) x64 Release Build (DllExport&ILmerge適用済み)](#cnet461-x64-release-build)
- [C#(net35) x86 Release Build (DllExport&ILmerge適用済み)](#cnet35-x86-release-build)
- [C# AnyCPU Release Build](#c-anycpu-release-build)
- [C(++) x64 Debug Build](#c-x64-debug-build)
- [C(++) Win32 Debug Build](#c-win32-debug-build)
- [C(++) Arm Release Build](#c-arm-release-build)
- [C(++) Arm64 Release Build](#c-arm64-release-build)
- [C#(UWP) Arm Release Build](#cuwp-arm-release-build)
- [C#(UWP) Arm64 Release Build](#cuwp-arm64-release-build)

実際のファイルヘッダを含む調査結果の詳細は, [gistの方](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee)にまとめてあります.  但し, 調査結果のファイルヘッダについて, 一部箇所は記載を省略しています.

以下に, 種類ごとのファイルヘッダ解析結果(のうち, 判別に必要な情報)をまとめます.  なお, 文中の"XXh"(例 : 03h)は, ファイル内の位置(16進表記)を表します.

解析結果にNTヘッダの開始位置も含まれていますが, この開始位置の定義は種類によらず3Chにて行われているため, 記載を省略しています.

## [C#(net461) x64 Release Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-x64-release-dlldllexport-passed)
- NTヘッダは80hより開始している
- ファイルヘッダ内Machine値は"0x8664"であり, これは"AMD64"(= x86_64)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2022"である
    - 0x0020 : IMAGE_FILE_LARGE_ADDRESS_AWARE=2GB分以上のアドレスを扱う[2]

## [C#(net35) x86 Release Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-x86-release-dlldllexport-passed)
- NTヘッダは80hより開始している
- ファイルヘッダ内Machine値は"0x014C"であり, これは"I386"(=Intel 386 / x86)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2102"である
    - 0x0100 : IMAGE_FILE_32BIT_MACHINE=32bitである[2]

## [C# AnyCPU Release Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-anycpu-release-dll)
- NTヘッダは80hより開始している
- ファイルヘッダ内Machine値は"0x014C"であり, これは"I386"(=Intel 386 / x86)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2022"である
    - 0x0020 : IMAGE_FILE_LARGE_ADDRESS_AWARE=2GB分以上のアドレスを扱う[2]

## [C(++) x64 Debug Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-x64-debug-dll)
- NTヘッダはF8hより開始している
- ファイルヘッダ内Machine値は"0x8664"であり, これは"AMD64"(= x86_64)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2022"である
    - 0x0020 : IMAGE_FILE_LARGE_ADDRESS_AWARE=2GB分以上のアドレスを扱う[2]

## [C(++) Win32 Debug Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-win32-debug-dll)
- NTヘッダはF0hより開始している
- ファイルヘッダ内Machine値は"0x014C"であり, これは"I386"(=Intel 386 / x86)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2102"である
    - 0x0100 : IMAGE_FILE_32BIT_MACHINE=32bitである[2]

## [C(++) Arm Release Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-arm-release-dll)
- NTヘッダは100hより開始している
- ファイルヘッダ内Machine値は"0x1C4"であり, これは"ARMNT"(=ARM Thumb-2 Little-Endian)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2122"である
    - 0x0020 : IMAGE_FILE_LARGE_ADDRESS_AWARE=2GB分以上のアドレスを扱う[2]
    - 0x0100 : IMAGE_FILE_32BIT_MACHINE=32bitである[2]

## [C(++) Arm64 Release Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-arm64-release-dll)
- NTヘッダは100hより開始している
- ファイルヘッダ内Machine値は"0xAA64"であり, これは"ARM64"(=ARM64 Little-Endian)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2022"である
    - 0x0020 : IMAGE_FILE_LARGE_ADDRESS_AWARE=2GB分以上のアドレスを扱う[2]

## [C#(UWP) Arm Release Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-uwp-arm-release-dll)
- NTヘッダは80hより開始している
- ファイルヘッダ内Machine値は"0x1C4"であり, これは"ARMNT"(=ARM Thumb-2 Little-Endian)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2022"である
    - 0x0020 : IMAGE_FILE_LARGE_ADDRESS_AWARE=2GB分以上のアドレスを扱う[2]

## [C#(UWP) Arm64 Release Build](https://gist.github.com/TetsuOtter/e539d661ea22bd2290f7c325eddd53ee#c-uwp-arm64-release-dll)
- NTヘッダは100hより開始している
- ファイルヘッダ内Machine値は"0xAA64"であり, これは"ARM64"(=ARM64 Little-Endian)を表している[1]
- ファイルヘッダ内Characteristicsは"0x2022"である
    - 0x0020 : IMAGE_FILE_LARGE_ADDRESS_AWARE=2GB分以上のアドレスを扱う[2]

# まとめ
基本的にはMachineの値で識別可能だとわかりました.  C#とC++の識別はNTヘッダの開始位置差で判別可能なように思えますが, 設定次第でこの差もなくなりそうな気がします.

x86とAnyCPUの識別は, Characteristicsで"32BIT_MACHINE"フラグが立っている(x86)か否(AnyCPU)かで識別が可能だとわかりました.

なお, Characteristicsの"LARGE_ADDRESS_AWARE"については, 32bitプロセスでも4GBまでメモリ空間を持てる場合があり, その場合にこのフラグが立ってしまうと考えられるため, 識別には使用できないものと思われます.

# 参考文献
- [1] [Image File Machine Constants, Microsoft Docs](https://docs.microsoft.com/en-us/windows/win32/sysinfo/image-file-machine-constants)
- [2] [IMAGE_FILE_HEADER structure (winnt.h), Microsoft Docs](https://docs.microsoft.com/en-us/windows/win32/api/winnt/ns-winnt-image_file_header)