深入浅出PE文件格式---自己动手打造PE Show

类别:编程语言 点击:0 评论:0 推荐:

深入浅出PE文件格式---自己动手打造PE Show
                                                            作者:WiNrOOt
////////////////////////////////////////////////////////////////////
//                            开篇                                             //
///////////////////////////////////////////////////////////////////
   大家好!我一位菜鸟,学习加密解密已经有一段时间了,可是对于脱壳总是似懂非懂,心中甚是不爽。
于是就从PE结构开始,在学习的过程中我发现要真正了解PE文件结构就必须动手,只有动手您才能看懂他,
感受他,直到你应用他………………这是我的一点废话希望大家不要嫌烦。下面是是我的学习笔记,希望能给大家
带来一点提示,文中有不对的地方请各位大虾指正。谢谢!
//////////////////////////////////////////////////////////////////
//                            准备                                        //
/////////////////////////////////////////////////////////////////
开篇之前我想大家起码要有几点准备:
1。Iczelion's Win32 Assembly的教程我们主要是围绕他的PE教程来实现我们的函数功能。
    (其实Win32ASM Tutorial Resource Kit v1.00 Collected and packed by dREAMtHEATER就包含这些
    还是翻译过的。下载地址WWW.PEDIY.COM)
    下载回来希望您能看一下,这样大家就好交流:-)

2。一个开发环境。(我用的是VC++6.0)
3。一个适合你研究东西的环境。
////////////////////////////////////////////////////////////////
//                           正文                                          //
///////////////////////////////////////////////////////////////

     “ PE 的意思就是 Portable Executable(可移植的执行体)。它是 Win32环境自身所带的执行体文件格
式。它的一些特性继承自 Unix的 Coff (common object file format)文件格式。"portable executable"
(可移植的执行体)意味着此文件格式是跨win32平台的 :
即使Windows运行在非Intel的CPU上,任何win32平台的PE装载器都能识别和使用该文件格式。当然,移植到不
同的CPU上PE执行体必然得有一些改变。所有 win32执行体
(除了VxD和16位的Dll)都使用PE文件格式,包括NT的内核模式驱动程序(kernel mode
drivers)。因而研究PE文件格式给了我们洞悉Windows结构的良机。“
      好了,上面这段话就是我们为什么要研究PE文件结构。
      看图1,

这张图我相信大家不陌生,第一块是DOS MZ header这是什么呢?
      这张图的每一块都是什么意思呢?
      从编程这方面说图中的每一块都代表着一个结构体,这些小块都包含有不同的子块,也是些结构体。
每个小块都有他自己的功能,我相信Iczelion's的教程中已经表达得很明白了。
那么我们就来开始动手。
 我们要设计我们自己的PE TOOLS----PE Show
 主要功能:1判断文件是否是PE文件。
           2显示pe文件的相关信息。

1.打开文件代码如下:

代码

if(FALSE==PEfile.Open(m_filename,CFile::typeBinary&line;CFile::shareDenyNone))
 &leftsign;
  MessageBox("文件打不开!");
  return;
 &rightsign;

CFile类的使用方法希望大及自己去查找msdn
2。文件我们打开了而且是以Binary方式打开的,下面我们该干什么了?

  编写第一个功能-----检验PE文件的有效性
在Iczelion's的教程中有这样一段话:
“1。首先检验文件头部第一个字的值是否等于 IMAGE_DOS_SIGNATURE,是则 DOS MZ header 有效。
 2。一旦证明文件的 DOS header 有效后,就可用e_lfanew来定位 PE header 了。
 3。比较 PE header 的第一个字的值是否等于 IMAGE_NT_HEADER。
    如果前后两个值都匹配,那我们就认为该文件是一个有效的PE文件。
这就是检验PE文件有效性的流程。
从上面那段话我们看出判断的关键是PE header 的第一个字的值是否等于 IMAGE_NT_HEADER
直到这些我们就倒着找。
PE header 的第一个字的值是什么?
我么就来看一下IMAGE_NT_HEADERS的结构:(查看WINNT.H就找到了)
typedef struct _IMAGE_NT_HEADERS &leftsign;
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
&rightsign; IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
Signature 一dword类型,值为50h, 45h, 00h, 00h(PE\0\0)。 本域为PE标记,我们可以此识别给定文件是否为有效PE文件。
FileHeader 该结构域包含了关于PE文件物理分布的信息, 比如节数目、文件执行机器等。
OptionalHeader 该结构域包含了关于PE文件逻辑分布的信息,虽然域名有"可选"字样,但实际上本结构总是存在的。
我们目的很明确。如果IMAGE_NT_HEADERS的signature域值等于"PE\0\0",那么就是有效的PE文件。实际上,为了比较方便,Microsoft已定义了常量IMAGE_NT_SIGNATURE供我们使用。
IMAGE_DOS_SIGNATURE equ 5A4Dh
IMAGE_OS2_SIGNATURE equ 454Eh
IMAGE_OS2_SIGNATURE_LE equ 454Ch
IMAGE_VXD_SIGNATURE equ 454Ch
IMAGE_NT_SIGNATURE equ 4550h

判断的问题我们解决了,新的问题又来了我们如何定位IMAGE_NT_HEADERS结构的位置。
MS肯定有办法,PE文件的开头是什么?DOS MZ header结构,我们来看一下他的定义:代码

typedef struct _IMAGE_DOS_HEADER &leftsign;      // DOS .EXE header
    WORD   e_magic;                     // Magic number
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // File address of new exe header
  &rightsign; IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;
 

  看一下最后一项!!!!!
  发现了吗?他指向的就是PE header
  那么DOS MZ header的位置怎么确定呢?呵呵,他就是文件的开始
  看代码:代码

        PEfile.Read(&stPEDosHeader,sizeof(_IMAGE_DOS_HEADER));
 if(stPEDosHeader.e_magic!=IMAGE_DOS_SIGNATURE)//"MZ"
 &leftsign;
  MessageBox("DOS MZ header无效!");
  PEfile.Close();
  return;
 &rightsign;
 else
 &leftsign;
  //-----------------------
  //显示DOS Header
  //-----------------------
  UpdateData(true);
  m_Magicnumber.Format(_T("0x%.4X"),stPEDosHeader.e_magic);
  m_cblp.Format(_T("0x%.4X"),stPEDosHeader.e_cblp);
  m_cp.Format(_T("0x%.4X"),stPEDosHeader.e_cp);
  m_crlc.Format(_T("0x%.4X"),stPEDosHeader.e_crlc);
  m_cparhdr.Format(_T("0x%.4X"),stPEDosHeader.e_cparhdr);
  m_minalloc.Format(_T("0x%.4X"),stPEDosHeader.e_minalloc);
  m_maxalloc.Format(_T("0x%.4X"),stPEDosHeader.e_maxalloc);
  m_ss.Format(_T("0x%.4X"),stPEDosHeader.e_ss);
  m_sp.Format(_T("0x%.4X"),stPEDosHeader.e_sp);
  m_csum.Format(_T("0x%.4X"),stPEDosHeader.e_csum);
  m_ip.Format(_T("0x%.4X"),stPEDosHeader.e_ip);
  m_cs.Format(_T("0x%.4X"),stPEDosHeader.e_cs);
  m_lfarlc.Format(_T("0x%.4X"),stPEDosHeader.e_lfarlc);
  m_ovno.Format(_T("0x%.4X"),stPEDosHeader.e_ovno);
  m_oemid.Format(_T("0x%.4X"),stPEDosHeader.e_oemid);
  m_oeminfo.Format(_T("0x%.4X"),stPEDosHeader.e_oeminfo);
  m_lfanew.Format(_T("0x%.8X"),stPEDosHeader.e_lfanew);
  UpdateData(false);
 &rightsign;


 buf=stPEDosHeader.e_lfanew;  //确定_IMAGE_DOS_HEADER偏移
 try&leftsign;PEfile.Seek(buf,CFile::begin);&rightsign;
 catch(...)
 &leftsign;
  MessageBox("_IMAGE_DOS_HEADER.e_lfanew不对!");
  PEfile.Close();
  return;
 &rightsign;
 PEfile.Read(&stPEHeader,sizeof(_IMAGE_NT_HEADERS));//----------NT头
 if(stPEHeader.Signature!=IMAGE_NT_SIGNATURE)//"PE\0\0"
 &leftsign;
  MessageBox("该文件不是PE格式!");
  PEfile.Close();
  return;
 &rightsign;
 else
       &leftsign;
          MessageBox("该文件是PE格式!");
          PEfile.Close();
  return;
        &rightsign; 

 

好了现在我们已经确定了文件是否是有效的PE文件。顺便我们把IMAGE_DOS_HEADER的结构成员都显示出来了。
我们已经写了一个功能。
下面我们继续顺着往下看:
IMAGE_DOS_HEADER结构结束那么就是IMAGE_NT_HEADERS开始。结构体的成员情况前面我们已经介绍过了
下面我们来提取他们:代码

  //---------------------------
  //显示IMAGE_FILE_HEADER结构
  //---------------------------
  UpdateData(true);
  m_Machine.Format(_T("0x%.4X"),stPEHeader.FileHeader.Machine);
  m_NumberOfSections.Format(_T("0x%.4X"),stPEHeader.FileHeader.NumberOfSections);
  m_TimeDateStamp.Format(_T("0x%.8X"),stPEHeader.FileHeader.TimeDateStamp);
      m_PointerToSymbolTable.Format(_T("0x%.8X"),stPEHeader.FileHeader.PointerToSymbolTable);
  m_NumberOfSymbols.Format(_T("0x%.8X"),stPEHeader.FileHeader.NumberOfSymbols);
  m_SizeOfOptionalHeader.Format(_T("0x%.4X"),stPEHeader.FileHeader.SizeOfOptionalHeader);
  m_Characteristics.Format(_T("0x%.4X"),stPEHeader.FileHeader.Characteristics);
  UpdateData(false);  
    
这是IMAGE_FILE_HEADER FileHeader的成员,我们已经将他们提取出来。
看教程我们继续寻找IMAGE_OPTIONAL_HEADER的成员,他是结构体中的结构体我们就顺着找。代码

typedef struct _IMAGE_OPTIONAL_HEADER &leftsign;
    //
    // Standard fields.
    //

    WORD    Magic;
    BYTE    MajorLinkerVersion;
    BYTE    MinorLinkerVersion;
    DWORD   SizeOfCode;
    DWORD   SizeOfInitializedData;
    DWORD   SizeOfUninitializedData;
    DWORD   AddressOfEntryPoint;
    DWORD   BaseOfCode;
    DWORD   BaseOfData;

    //
    // NT additional fields.
    //

    DWORD   ImageBase;
    DWORD   SectionAlignment;
    DWORD   FileAlignment;
    WORD    MajorOperatingSystemVersion;
    WORD    MinorOperatingSystemVersion;
    WORD    MajorImageVersion;
    WORD    MinorImageVersion;
    WORD    MajorSubsystemVersion;
    WORD    MinorSubsystemVersion;
    DWORD   Win32VersionValue;
    DWORD   SizeOfImage;
    DWORD   SizeOfHeaders;
    DWORD   CheckSum;
    WORD    Subsystem;
    WORD    DllCharacteristics;
    DWORD   SizeOfStackReserve;
    DWORD   SizeOfStackCommit;
    DWORD   SizeOfHeapReserve;
    DWORD   SizeOfHeapCommit;
    DWORD   LoaderFlags;
    DWORD   NumberOfRvaAndSizes;
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
&rightsign; IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

 
 


看到这些成员将他们全部显示出来

代码

  //--------------------------------
  //显示IMAGE_OPTIONAL_HEADER
  //--------------------------------
  UpdateData(true);
  m_Magic.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.Magic);
  m_MajorLinkerVersion.Format(_T("0x%.2X"),stPEHeader.OptionalHeader.MajorLinkerVersion);
  m_MinorLinkerVersion.Format(_T("0x%.2X"),stPEHeader.OptionalHeader.MinorLinkerVersion);
  m_SizeOfCode.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfCode);
  m_SizeOfInitializedData.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfInitializedData);
  m_SizeOfUninitializedData.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfUninitializedData);
  m_AddressOfEntryPoint.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.AddressOfEntryPoint);
  m_BaseOfCode.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.BaseOfCode);
  m_BaseOfData.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.BaseOfData);
  m_ImageBase.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.ImageBase);
  m_SectionAlignment.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SectionAlignment);
  m_FileAlignment.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.FileAlignment);
  m_MajorOperatingSystemVersion.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.MajorOperatingSystemVersion);
  m_MinorOperatingSystemVersion.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.MinorOperatingSystemVersion);
  m_MajorImageVersion.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.MajorImageVersion);
  m_MinorImageVersion.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.MinorImageVersion);
  m_MajorSubsystemVersion.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.MajorSubsystemVersion);
  m_MinorSubsystemVersion.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.MinorSubsystemVersion);
  m_Win32VersionValue.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.Win32VersionValue);
  m_SizeOfImage.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfImage);
  m_SizeOfHeaders.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfHeaders);
  m_CheckSum.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.CheckSum);
  m_Subsystem.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.Subsystem);
  m_DllCharacteristics.Format(_T("0x%.4X"),stPEHeader.OptionalHeader.DllCharacteristics);
  m_SizeOfStackReserve.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfStackReserve);
  m_SizeOfStackCommit.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfStackCommit);
  m_SizeOfHeapReserve.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfHeapReserve);
  m_SizeOfHeapCommit.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.SizeOfHeapCommit);
  m_LoaderFlags.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.LoaderFlags);
  m_NumberOfRvaAndSizes.Format(_T("0x%.8X"),stPEHeader.OptionalHeader.NumberOfRvaAndSizes);
  UpdateData(false);
  


我们已经学了许多关于 DOS header 和 PE header 的知识。接下来就该轮到 section table(节表)了。
节表其实就是紧挨着 PE header 的一结构数组。该数组成员的数目由 file header (IMAGE_FILE_HEADER)
结构中 NumberOfSections 域的域值来决定。节表结构又命名为 IMAGE_SECTION_HEADER。代码

typedef struct _IMAGE_SECTION_HEADER &leftsign;
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];
    union &leftsign;
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;
    &rightsign; Misc;
    DWORD   VirtualAddress;
    DWORD   SizeOfRawData;
    DWORD   PointerToRawData;
    DWORD   PointerToRelocations;
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;
&rightsign; IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER


Name     这儿的节名长不超过8字节。记住节名仅仅是个标记而已,我们选择任何名字甚至空着也行,注意这里不用null结束。命名不是一个ASCIIZ字符串,所以不用null结尾。
VirtualAddress 本节的RVA(相对虚拟地址)。PE装载器将节映射至内存时会读取本值,因此如果域值是1000h,而PE文件装在地址400000h处,那么本节就被载到401000h。
SizeOfRawData 经过文件对齐处理后节尺寸,PE装载器提取本域值了解需映射入内存的节字节数。(译者注: 假设一个文件的文件对齐尺寸是0x200,如果前面的 VirtualSize域指示本节长度是0x388字节,则本域值为0x400,表示本节是0x400字节长)。
PointerToRawData 这是节基于文件的偏移量,PE装载器通过本域值找到节数据在文件中的位置。
Characteristics 包含标记以指示节属性,比如节是否含有可执行代码、初始化数据、未初始数据,是否可写、可读等。


现在我们已知晓 IMAGE_SECTION_HEADER 结构,再来模拟一下 PE装载器的工作吧:

1 读取 IMAGE_FILE_HEADER 的 NumberOfSections域,知道文件的节数目。
2 SizeOfHeaders 域值作为节表的文件偏移量,并以此定位节表。
3 遍历整个结构数组检查各成员值。
4 对于每个结构,我们读取PointerToRawData域值并定位到该文件偏移量。然后再读取SizeOfRawData域值来决定映射内存的字节数。将VirtualAddress域值加上ImageBase域值等于节起始的虚拟地址。然后就准备把节映射进内存,并根据Characteristics域值设置属性。
5 遍历整个数组,直至所有节都已处理完毕。
代码如下:代码

  //------------------------------
  //显示Section结构
  //------------------------------
  nSection=stPEHeader.FileHeader.NumberOfSections;
  stSectionHeader=new _IMAGE_SECTION_HEADER[nSection];
  m_ListCtrl.DeleteAllItems();
  for(int i=0;i  &leftsign;
  
   PEfile.Read(&stSectionHeader[i],sizeof(_IMAGE_SECTION_HEADER));//-----节表
   //NO
   szTemp.Format(_T("%.2d"), i+1);
   m_ListCtrl.InsertItem(i,szTemp,i);
   //SectionName
   strcpy(chSectionName,(LPCSTR)stSectionHeader[i].Name);
           m_ListCtrl.SetItemText(i,1,chSectionName);
   //VirtualSize
   szTemp.Format(_T("0x%.8X"),stSectionHeader[i].Misc.VirtualSize);
              m_ListCtrl.SetItemText(i,2,szTemp);
   //VirtualAddress
   szTemp.Format(_T("0x%.8X"),stSectionHeader[i].VirtualAddress );
              m_ListCtrl.SetItemText(i,3,szTemp);
   //SizeOfRawData
   szTemp.Format(_T("0x%.8X"),stSectionHeader[i].SizeOfRawData );
   m_ListCtrl.SetItemText(i,4,szTemp);
   //SizeOffset
   szTemp.Format(_T("0x%.8X"),stSectionHeader[i].PointerToRawData );
   m_ListCtrl.SetItemText(i,5,szTemp);
   //Characteristics
   szTemp.Format(_T("0x%.8X"),stSectionHeader[i].Characteristics );
   m_ListCtrl.SetItemText(i,6,szTemp);
  
  
  &rightsign;
  delete stSectionHeader;

本文地址:http://com.8s8s.com/it/it21873.htm