标签：02 13 WORD IMAGE 00 文件格式 PE DWORD NT
作者分析的是32位的notepad.exe,我们通过模仿分析64位的notepad.exe来认识PE文件格式，跟随作者的脚步，下面我们开始分析：
PE的头由 1DOS头 2DOS存根 3NT头 4各种节区头 组成。
*******************************************************************************
第一部分DOS头结构，总共是64个字节
typedef struct _IMAGE_DOS_HEADER
{
0 WORD e_magic ; // DOS signature:4D5A('MZ')
2 WORD e_cblp ;
4 WORD e_cp ;
6 WORD e_crlc ;
8 WORD e_cparhdr ;
10 WORD e_minalloc ;
12 WORD e_maxalloc ;
14 WORD e_ss ;
16 WORD e_sp ;
18 WORD e_csum ;
20 WORD e_ip ;
22 WORD e_cs ;
24 WORD e_lfarlc ;
26 WORD e_ovno ;
28 WORD e_res[4] ;
36 WORD e_oemid ;
38 WORD e_oeminfo ;
40 WORD e_res2[10] ;
60 LONG e_lfanew ; // Offset to NT header 不同于32位E0，64位的开始位置为E8
} IMAGE_DOS_HEADER,*PIMAGE_DOS_HEADER;
*******************************************************************************
第二部分DOS存根，大小不固定，我们可以用 E8h - 40h = A8H, 64位的notepad.exe的dos存根大小为A8h，为了重现执行dos存根的效果，我们安装了DOSBox.exe，在其中成功执行notepad.exe得到。“This program cannot be run in DOS mode.”
如图：
*******************************************************************************
第三部分NT头，NT头由3部分组成： 1签名 2文件头 3可选头
32位的NT头和64位的NT头有点不同，如下:
//32位的NT头
typedef struct _IMAGE_NT_HEADERS {
DWORD Signature;
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;
//64位的NT头
typedef struct _IMAGE_NT_HEADERS64 {
DWORD Signature;
IMAGE_FILE_HEADER FileHeader;
IMAGE_OPTIONAL_HEADER64 OptionalHeader;
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;
在于结构体的第三个参数不同，下面我们从签名开始分析
签名是固定的4个字节"PE"00
文件头的结构体如下：共20个字节
typedef struct _IMAGE_FILE_HEADER {
0 WORD Machine; //64 86 8664 IMAGE_FILE_MACHINE_AMD64 AMD64
2 WORD NumberOfSections; //07 00 有7个节区 作者书中只有3个节区
4 DWORD TimeDateStamp;
8 DWORD PointerToSymbolTable;
12 DWORD NumberOfSymbols;
16 WORD SizeOfOptionalHeader; //F0 00 可选头的大小为F0
18 WORD Characteristics;
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;
*******************************************************************************
可选头的结构体如下： 共F0(240)个字节
typedef struct _IMAGE_OPTIONAL_HEADER64 {
0 WORD Magic; // 0B 02 20B是64位PE标志
2 BYTE MajorLinkerVersion;
3 BYTE MinorLinkerVersion;
4 DWORD SizeOfCode;
8 DWORD SizeOfInitializedData;
12 DWORD SizeOfUninitializedData;
16 DWORD AddressOfEntryPoint;
20 DWORD BaseOfCode;
24 ULONGLONG ImageBase; //00 00 00 40 01 00 00 00 0140000000
32 DWORD SectionAlignment; //00 10 00 00 在内存最小单位 1000
36 DWORD FileAlignment; //00 02 00 00 在磁盘最小单位 0200
40 WORD MajorOperatingSystemVersion;
42 WORD MinorOperatingSystemVersion;
44 WORD MajorImageVersion;
46 WORD MinorImageVersion;
48 WORD MajorSubsystemVersion;
50 WORD MinorSubsystemVersion;
52 DWORD Win32VersionValue;
56 DWORD SizeOfImage; //00 90 03 00 039000内存映像大小
60 DWORD SizeOfHeaders; //00 04 00 00 0400 头部大小
64 DWORD CheckSum;
68 WORD Subsystem; //02 00 2 gui文件 窗口应用程序
70 WORD DllCharacteristics;
72 ULONGLONG SizeOfStackReserve;
80 ULONGLONG SizeOfStackCommit;
88 ULONGLONG SizeOfHeapReserve;
96 ULONGLONG SizeOfHeapCommit;
104 DWORD LoaderFlags;
108 DWORD NumberOfRvaAndSizes;
// 下面数组DataDirectory的实际大小 10 00 00 00 10h=16
112 IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
保存导入导出函数，后面重点要介绍
} IMAGE_OPTIONAL_HEADER64, *PIMAGE_OPTIONAL_HEADER64;
IMAGE_NUMBEROF_DIRECTORY_ENTRIES 的值为16
IMAGE_DATA_DIRECTORY的结构体如下： 共8个字节
typedef struct _IMAGE_DATA_DIRECTORY {
0 DWORD VirtualAddress;
4 DWORD Size;
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
所以最后的数组字节大小为: 16 * 8 = 128个字节
*******************************************************************************
第四部分节区头，我们这里有7个节区头 text rdata data pdata didat rsrc reloc
#define IMAGE_SIZEOF_SHORT_NAME 8
typedef struct _IMAGE_SECTION_HEADER {
BYTE Name[IMAGE_SIZEOF_SHORT_NAME];
union {
DWORD PhysicalAddress;
DWORD VirtualSize; //内存大小
} Misc;
DWORD VirtualAddress; //内存地址
DWORD SizeOfRawData; // 磁盘大小
DWORD PointerToRawData; // 磁盘地址
DWORD PointerToRelocations;
DWORD PointerToLinenumbers;
WORD NumberOfRelocations;
WORD NumberOfLinenumbers;
DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
下面是对节区头中包含节区的内存展示：
|
文件RAW地址 |
|
内存RVA地址 |
||
|
400 磁盘节区起始地址 |
|
1000 内存节区起始地址 |
||
|
..... ..... ..... 26200 |
25e00 |
text |
..... ..... ..... 27000 |
25ccf
|
|
..... 2fc00 |
9a00 |
rdata |
..... 31000 |
98d6 |
|
...... 0a00 |
0e00 |
data |
...... 34000 |
2788 |
|
...... 31c00 |
1200 |
pdata |
...... 36000 |
1188 |
|
...... 31e00 |
0200 |
didat |
...... 37000 |
0178 |
|
...... 32a00 |
0c00 |
rsrc |
...... 38000 |
0bdb |
|
...... 32DE0 |
0400 |
reloc |
...... 39000 |
02e8 |
|
注意上面表格两边虽然格式上对齐，但是数值上是不一样的 |
||||
我们查看notepad.exe的文件大小为：203 KB (208,384 字节)，和这里的32DE0h是一样的。
如图所示:
内存映像大小和 结构体_IMAGE_OPTIONAL_HEADER64的如下字段相对应
56 DWORD SizeOfImage; //00 90 03 00 039000内存映像大小
*******************************************************************************
经过上面的铺垫，我们现在来看DataDirectory数组中的第二个元素导入库的存在，
对比我们实际的数据：D8 E6 02 00 44 02 00 00
typedef struct _IMAGE_DATA_DIRECTORY {
0 DWORD VirtualAddress; //2E6D8h ->(2e6d8-27000+26200=2d8d8)
4 DWORD Size; //244h
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
首先认识一下导入库的结构体,共20个字节，
对应的实际数据为：F0 E9 02 00 00 00 00 00 00 00 00 00 46 F8 02 00 F8 78 02 00
27000-26200=E00
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics;
DWORD OriginalFirstThunk;
// INT(import name table) 地址 RVA F0 E9 02 00 02E9F0->(02e9f0-e00=2dbf0)
//2dbf0保存的内容为5C F4 02 00即2f45c ->(2f45c-e00=2e65c)
} ;
DWORD TimeDateStamp; // 00 00 00 00
DWORD ForwarderChain; //00 00 00 00
DWORD Name; //库名称字符串的地址 RVA 46 F8 02 00 02F846->(2F846-e00=2ea46)
//2ea46保存的地址内容为 4B 45 52 4E 45 4C 33 32 2E 64 6C 6C即字符串KERNEL32.dll
DWORD FirstThunk; // IAT地址 RVA F8 78 02 00 0278F8 ->(278f8-e00=26af8)
//26af8保存的内容为 5C F4 02 00 即2f45c ->(2f45c-e00=2e65c)，和上面字段INT一样
} IMAGE_IMPORT_DESCRIPTOR;
typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;
typedef struct _IMAGE_IMPORT_BY_NAME {
WORD Hint; //B8 02 02B8
BYTE Name[1]; //变长字符串
//47 65 74 50 72 6F 63 41 64 64 72 65 73 73 即为GetProcAddress
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
根据上述分析，所以引入的第一个dll是KERNEL32.dll，KERNEL32.dll的第一个函数是GetProcAddress。类似的我们可以分析引入的第二个dll是GDI32.dll，GDI32.dll的第一个函数是CreateDCW。以此类推，至此分析完毕。
*******************************************************************************
标签：02,13,WORD,IMAGE,00,文件格式,PE,DWORD,NT 来源： https://www.cnblogs.com/cquccy/p/15802585.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。