程序员自我修养阅读笔记——Windows PE/COFF

最新推荐文章于 2022-10-30 14:31:00 发布

落樱弥城

最新推荐文章于 2022-10-30 14:31:00 发布

阅读量1.9k

点赞数

分类专栏：基础知识文章标签： windows pe coff 链接

本文链接：https://blog.csdn.net/GrayOnDream/article/details/122658927

版权

基础知识专栏收录该内容

19 篇文章 3 订阅

订阅专栏

本章主要将windowsPE格式和ELF格式的区别。

1 Windows PE/COFF

PE是windows引入的一种可执行文件格式，该格式和Linux系统的ELF文件格式同源，都是由COFF格式发展而来。在Windows上可执行文件格式为PE格式，而目标文件的格式为COFF，二者略微不同但是大体上相似。同时32bit的windows和64bit的windows的目标二进制文件格式基本相同，只不过64bit中将原PE中的32bit的字段修改为64bit。
与ELF文件格式类似，PE采用段管理数据与代码，不同的是采用的段名不同，比如windows上的.code,.data（改名字根据编译器的不同而不同）。另外，vc中可以通过预编译处理命令指定目标的变量希望存放的段。

2 PE的前身——COFF

为了描述COFF文件格式，下面使用下面简单的程序测试生成的段。

int add(int a, int b){
    return a + b;
}

const char *file = "main.o";
int glob_a = 15;
int glob_b;
//test
int main(){
    static char static_a = 16;
    static char static_b;
    long long a = 3;
    long long b;
    add(a, b);
}

将上面的程序通过下面的命令编译后能够得到一个obj文件。windows上可以通过dumpbin /SUMMARY main.obj命令查看简要的短信息和dumpbin /ALL main.obj查看所有的详细信息。

# /Za 参数是为了减少编译器行为对结果的干扰
cl /c /Za main.c

下面是通过Summary查看的段的内容：

          38 .chks64
          14 .data
          68 .debug$S
          18 .drectve
           C .pdata
          41 .text$mn
           8 .xdata

在这里插入图片描述

下图为COFF文件的基本格式，其基本格式和ELF类似。
映像文件头
首先是映像文件头，该头描述了当前文件的相关内容，相应的结构定义于winnt.h文件中的_IMAGE_FILE_HADER，能够看到该头包含了下面吉祥内容：

当前机器类型；
段的数量；
文件创建的时间；
指向符号表的指针；
符号表中符号的数量；
Header的大小，该字段仅仅在PE文件中使用。
标志位。

上面通过dumpbin命令获取的header内容如下，机器类型8664可以在winnt.h文件中搜索IMAGE_FILE_MACHINE_前缀，就能找到对应的机器类型的表示，我这里查到是Amd64；包含7个段符合上面通过SUMMARY参数查看的段的数量；19个符号，后续我们再看下是哪19个符号，如果仅仅看程序的话貌似我们并未定义这么多的符号。

FILE HEADER VALUES
            8664 machine (x64)
               7 number of sections
        61ED5A40 time date stamp Sun Jan 23 21:38:08 2022
             27F file pointer to symbol table
              19 number of symbols
               0 size of optional header
               0 characteristics

段表
段表是一个数组，数组的每一个元素都是描述一个段的IMAGE_SECTION_HEADER的结构体（该结构体的定义同样能够在winnt.h中找到），该段描述的基本内容包括：

Name：段名；
Misc：该字段是一个union，要么是物理地址，要么是该段被加载到内存的大小；
VirtualAdderss：段被加载到内存后的虚拟地址；
SizeofRawData：段在文件中的大小往往和Mics中的```VirtualSize``大小不同，比如内存对齐等原因；
Characteristics：标志位，描述段的读写权限，对齐方式等。
其他字段的含义如其名称所描述。

链接指令
使用dumpbin命令查看详细内容能够看到如下段描述，首先是和上面段表项中描述的一致每个字段都有相应的内容，最后的Linker Directives是传递给连接器的命令，这里的/DEFAULTLIB:LIBCMT表示当前段依赖于libcmt.lib这个库。

SECTION HEADER #1
.drectve name
       0 physical address
       0 virtual address
      18 size of raw data
     12C file pointer to raw data (0000012C to 00000143)
       0 file pointer to relocation table
       0 file pointer to line numbers
       0 number of relocations
       0 number of line numbers
  100A00 flags
         Info
         Remove
         1 byte align

RAW DATA #1
  00000000: 20 20 20 2F 44 45 46 41 55 4C 54 4C 49 42 3A 22     /DEFAULTLIB:"
  00000010: 4C 49 42 43 4D 54 22 20                          LIBCMT" 

   Linker Directives
   -----------------
   /DEFAULTLIB:LIBCMT

调试信息
输出的内容可能包含类似下面的段，以debug开头表示调试信息，后面的内容描述具体的调试类型：

.debug$S：表示包含符号相关的调试信息；
.debug$P：表示包含预编译头文件相关的调试信息；
.debug$T：表示包含类型相关的调试信息。

SECTION HEADER #2
.debug$S name
       0 physical address
       0 virtual address
      68 size of raw data
     144 file pointer to raw data (00000144 to 000001AB)
       0 file pointer to relocation table
       0 file pointer to line numbers
       0 number of relocations
       0 number of line numbers
42100040 flags
         Initialized Data
         Discardable
         1 byte align
         Read Only

符号表
一个完整的符号表如下：

第一列为符号的标号，16进制计数；
第二列为符号占用的大小；
第三列为符号所在的位置，SECT接数字表示当前符号所载的段的序号；
第四列为符号的类型，分为notype和notype()分别表示变量、其他符号和函数；
第五列表示符号的可见性，static表示局部可见，external表示外部可见；
第六列为符号的名称，如果为段名的符号如.drectve后面会继续跟段的一些基本属性如段长度、重定位数、行号数、校验和。

COFF SYMBOL TABLE
000 010469A5 ABS    notype       Static       | @comp.id
001 80000190 ABS    notype       Static       | @feat.00
002 00000000 SECT1  notype       Static       | .drectve
    Section length   18, #relocs    0, #linenums    0, checksum        0
004 00000000 SECT2  notype       Static       | .debug$S
    Section length   68, #relocs    0, #linenums    0, checksum        0
006 00000000 SECT3  notype       Static       | .data
    Section length   14, #relocs    1, #linenums    0, checksum 57950DAC
008 00000000 SECT3  notype       External     | file
009 00000008 SECT3  notype       Static       | $SG4309
00A 00000010 SECT3  notype       External     | glob_a
00B 00000004 UNDEF  notype       External     | glob_b
00C 00000000 SECT4  notype       Static       | .text$mn
    Section length   41, #relocs    1, #linenums    0, checksum FEED5EA9
00E 00000000 SECT4  notype ()    External     | add
00F 00000020 SECT4  notype ()    External     | main
010 00000020 SECT4  notype       Label        | $LN3
011 00000000 SECT5  notype       Static       | .xdata
    Section length    8, #relocs    0, #linenums    0, checksum 37887F31
013 00000000 SECT5  notype       Static       | $unwind$main
014 00000000 SECT6  notype       Static       | .pdata
    Section length    C, #relocs    3, #linenums    0, checksum 35DC62C8
016 00000000 SECT6  notype       Static       | $pdata$main
017 00000000 SECT7  notype       Static       | .chks64
    Section length   38, #relocs    0, #linenums    0, checksum        0

String Table Size = 0x1D bytes

3 PE文件格式

PE文件格式是COFF文件格式的扩展，基本结构和COFF类似但是添加了额外的一些描述，下面是winnt.h中32bit和64bit的文件头的描述。能够看到其中除了COFF的IMAGE_FILE_HEADER还额外包含了Signature和OptinalHeader描述，前者基本固定标识PE文件，后面的对于DLL文件和可执行文件是必须的。另外对比IMAGE_OPTIONAL_HEADER64和IMAGE_OPTIONAL_HEADER32就能够发现只有部分字段由DWORD改成了ULONGLONG基本相同（IMAGE_OPTIONAL_HEADER32多了一个BaseOfData）。

typedef struct _IMAGE_NT_HEADERS64 {
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER64 OptionalHeader;
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;

typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

关于PE按照书里面的节奏不会解释所有的字段，只会关注静态链接需要的字段。Windows系统装载PE可执行文件时，需要很快找到一些装载所需要的数据结构，比如导入表，导出表，资源，重定位表等。这些常用的数据的位置和长度都被保存在了数据目录DataDirectory成员中。这个成员是IMAGE_DATA_DIRECTORY结构的一个数组。而每个_IMAGE_DATA_DIRECTORY结构体就是一个地址+大小的模式。

typedef struct _IMAGE_OPTIONAL_HEADER {
    //省略...
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;
    DWORD   Size;
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES    16

而这16个表每个表所表示的内容是固定的，索引所对应的表的含义如下所示。

#define IMAGE_DIRECTORY_ENTRY_EXPORT          0   // Export Directory
#define IMAGE_DIRECTORY_ENTRY_IMPORT          1   // Import Directory
#define IMAGE_DIRECTORY_ENTRY_RESOURCE        2   // Resource Directory
#define IMAGE_DIRECTORY_ENTRY_EXCEPTION       3   // Exception Directory
#define IMAGE_DIRECTORY_ENTRY_SECURITY        4   // Security Directory
#define IMAGE_DIRECTORY_ENTRY_BASERELOC       5   // Base Relocation Table
#define IMAGE_DIRECTORY_ENTRY_DEBUG           6   // Debug Directory
//      IMAGE_DIRECTORY_ENTRY_COPYRIGHT       7   // (X86 usage)
#define IMAGE_DIRECTORY_ENTRY_ARCHITECTURE    7   // Architecture Specific Data
#define IMAGE_DIRECTORY_ENTRY_GLOBALPTR       8   // RVA of GP
#define IMAGE_DIRECTORY_ENTRY_TLS             9   // TLS Directory
#define IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG    10   // Load Configuration Directory
#define IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT   11   // Bound Import Directory in headers
#define IMAGE_DIRECTORY_ENTRY_IAT            12   // Import Address Table
#define IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT   13   // Delay Load Import Descriptors
#define IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR 14   // COM Runtime descriptor

落樱弥城

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
程序员自我修养阅读笔记——Windows PE/COFF

本章主要将windowsPE格式和ELF格式的区别。1 Windows PE/COFF PE是windows引入的一种可执行文件格式，该格式和Linux系统的ELF文件格式同源，都是由COFF格式发展而来。在Windows上可执行文件格式为PE格式，而目标文件的格式为COFF，二者略微不同但是大体上相似。同时32bit的windows和64bit的windows的目标二进制文件格式基本相同，只不过64bit中将原PE中的32bit的字段修改为64bit。与ELF文件格式类似，PE采用段管理数
复制链接

扫一扫