Soweit verständlich. Die ersten beiden Bytes beinhalten die Zeichenkette "MZ" welche eine (unter DOS) ausführbare Datei identifizieren, die letzten 4 Bytes zeigen auf den Anfang des PE-Headers.
Punkto Erkennung der Stub: Es ist ja offensichtlich, dass die extern angehängte "Stub" nicht gleich den Dateinamen "Stub" hat oder haben muss. Man kann Sie auch an der Größe der Bytes erkennen.

Man kann ja auch das gesamte PE-HEader zur nächsten 512-Byte-Grenze "aufblasen". EIne PE-Datei ist ja bekanntlich, noch bevor die Sections enthalten sind, mindestens 512 oder 1024 Byte groß. Man kann in jeder Section die Datei um 512 Byte vergrößern (kleinste Wert für Section Alignment in der Datei ist ja 512 Bytes groß ).

Wenn ich eine PE-Datei gefunden haben soll, die ich modden könnte, bei welchen Sektionen müsste ich da ansetzen.? Den Section Header oder die Daten der Sektion selbst?