C/C++编程解析PE文件结构

最新推荐文章于 2025-02-23 21:15:42 发布

KoalaZB

最新推荐文章于 2025-02-23 21:15:42 发布

阅读量7.4k

点赞数 8

分类专栏： C/C++ 信息安全_计算机病毒原理

本文链接：https://blog.csdn.net/KoalaZB/article/details/53590404

版权

一、PE文件介绍

1. PE文件定义

PE的意思就是Portable Executable(可移植、可执行）

2. PE文件结构

如下为PE文件结构图：
这里写图片描述

PS：现在大多数PE文件都是加壳或者经过处理的，此程序只适用于最原始的PE文件

关于PE文件的解析问题，可以参考我的另一篇博文《用Winhex软件解析PE文件》

二、代码

#include <stdio.h>
#include <stdlib.h>
#include <Windows.h>


//函数计算导出／导入表相对内存的偏移量
DWORD RVA2Offset(PIMAGE_NT_HEADERS pNTHeader, DWORD dwExpotRVA)
{
   
    PIMAGE_SECTION_HEADER pSection = (PIMAGE_SECTION_HEADER)((DWORD)pNTHeader + sizeof(IMAGE_NT_HEADERS));

    for(int i = 0; i < pNTHeader->FileHeader.NumberOfSections; i++)
    {
   
        if(dwExpotRVA >= pSection[i].VirtualAddress && dwExpotRVA < (pSection[i].VirtualAddress + pSection[i].SizeOfRawData))
        {
   
            return pSection[i].PointerToRawData + (dwExpotRVA - pSection[i].VirtualAddress);
        }
    }

    return 0;
}


int main(int argc, char* argv[])
{
   
    char szExePath[MAX_PATH]; //声明文件名
    //"C:\\Program Files (x86)\\Application Verifier\\vrfauto.dll"
	printf("Please input the execution file path:\n");
	scanf("%s",szExePath);
	HANDLE hFile = CreateFile(szExePath, GENERIC_ALL, FILE_SHARE_WRITE, NULL, OPEN_EXISTING, NULL, NULL); //获得PE文件句柄
    HANDLE hMapping = CreateFileMapping(hFile, NULL, PAGE_READWRITE, 0, 0, NULL); //创建一个新的文件映射内核对象
    //将一个文件映射对象映射到内存,得到指向映射到内存的第一个字节的指针pbFile
    PVOID pbFile = MapViewOfFile(hMapping, FILE_MAP_ALL_ACCESS, 0, 0, 0);

    if(INVALID_HANDLE_VALUE == hFile || NULL == hMapping || NULL == pbFile)
    {
   
        printf("\n\t---------- The File Inexistence! ----------\n");
        if(NULL != pbFile)
		{
   
			UnmapViewOfFile(pbFile);
		}

		if(NULL != hMapping)
		{
   
		  CloseHandle(hMapping);
		}

		if (INVALID_HANDLE_VALUE != hFile)
		{
   
		    CloseHandle(hFile);
		 }

		return 0;
    }
    printf("<------------------------PE Header----------------------->\n"

最低0.47元/天解锁文章