C/C++编程解析PE文件结构

最新推荐文章于 2024-03-31 15:31:19 发布
最新推荐文章于 2024-03-31 15:31:19 发布
阅读量6.9k 收藏 29
点赞数 8
分类专栏： C/C++ 信息安全_计算机病毒原理
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/KoalaZB/article/details/53590404
版权

一、PE文件介绍

1. PE文件定义

PE的意思就是Portable Executable(可移植、可执行）

2. PE文件结构

如下为PE文件结构图：
这里写图片描述

PS：现在大多数PE文件都是加壳或者经过处理的，此程序只适用于最原始的PE文件

关于PE文件的解析问题，可以参考我的另一篇博文《用Winhex软件解析PE文件》

二、代码

#include <stdio.h>
#include <stdlib.h>
#include <Windows.h>


//函数计算导出／导入表相对内存的偏移量
DWORD RVA2Offset(PIMAGE_NT_HEADERS pNTHeader, DWORD dwExpotRVA)
{
    PIMAGE_SECTION_HEADER pSection = (PIMAGE_SECTION_HEADER)((DWORD)pNTHeader + sizeof(IMAGE_NT_HEADERS));

    for(int i = 0; i < pNTHeader->FileHeader.NumberOfSections; i++)
    {
        if(dwExpotRVA >= pSection[i].VirtualAddress && dwExpotRVA < (pSection[i].VirtualAddress + pSection[i].SizeOfRawData))
        {
            return pSection[i].PointerToRawData + (dwExpotRVA - pSection[i].VirtualAddress);
        }
    }

    return 0;
}


int main(int argc, char* argv[])
{
    char szExePath[MAX_PATH]; //声明文件名
    //"C:\\Program Files (x86)\\Application Verifier\\vrfauto.dll"
	printf("Please input the execution file path:\n");
	scanf("%s",szExePath);
	HANDLE hFile = CreateFile(szExePath, GENERIC_ALL, FILE_SHARE_WRITE, NULL, OPEN_EXISTING, NULL, NULL); //获得PE文件句柄
    HANDLE hMapping = CreateFileMapping(hFile, NULL, PAGE_READWRITE, 0, 0, NULL); //创建一个新的文件映射内核对象
    //将一个文件映射对象映射到内存,得到指向映射到内存的第一个字节的指针pbFile
    PVOID pbFile = MapViewOfFile(hMapping, FILE_MAP_ALL_ACCESS, 0, 0, 0);

    if(INVALID_HANDLE_VALUE == hFile || NULL == hMapping || NULL == pbFile)
    {
        printf("\n\t---------- The File Inexistence! ----------\n");
        if(NULL != pbFile)
		{
			UnmapViewOfFile(pbFile);
		}

		if(NULL != hMapping)
		{
		  CloseHandle(hMapping);
		}

		if (INVALID_HANDLE_VALUE != hFile)
		{
		    CloseHandle(hFile);
		 }

		return 0;
    }
    printf("<------------------------PE Header----------------------->\n");
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pbFile;//pDosHeader指向DOS头起始位置
    printf("PE Header e_lfanew：0x%x\n",pDosHeader->e_lfanew);
    PIMAGE_NT_HEADERS pNTHeader = (PIMAGE_NT_HEADERS)((DWORD)pbFile + pDosHeader->e_lfanew);//计算PE头位置

    if(0x00004550 != pNTHeader->Signature)
    {
        printf("\n\t---------- Lawless PE File! ----------\n");
        if(NULL != pbFile)
		{
			UnmapViewOfFile(pbFile);
		}

		if(NULL != hMapping)
		{
		   CloseHandle(hMapping);
		}

		if (INVALID_HANDLE_VALUE != hFile)
		{
		    CloseHandle(hFile);
		 }

		return 0;
    }
    printf("<----------------------FileHeader---------------------->\n");
    WORD wNumberOfSections = (WORD)pNTHeader->FileHeader.NumberOfSections;//找到存放节数的项，并打印
    printf("NumberOfSections: %d\n",wNumberOfSections);

    WORD wSizeOfOptionalHeader= (WORD)pNTHeader->FileHeader.SizeOfOptionalHeader;//找到可选头长度，并打印
    printf("SizeOfOptionalHeader: %d\n",wSizeOfOptionalHeader);

    //可选映像头
    printf("<--------------------Optional Header-------------------->\n");
    DWORD dwSizeOfCode = (DWORD)pNTHeader->OptionalHeader.SizeOfCode;
    printf("SizeOfCode: 0x%08X\n",dwSizeOfCode);

    DWORD dwAddressOfEntryPoint = (DWORD)pNTHeader->OptionalHeader.AddressOfEntryPoint;
    printf("AddressOfEntryPoint: 0x%08X\n",dwAddressOfEntryPoint);

    DWORD dwImageBase = (DWORD)pNTHeader->OptionalHeader.ImageBase;
    printf("ImageBase: 0x%08X\n",dwImageBase);

    DWORD dwSectionAlignment = (DWORD)pNTHeader->OptionalHeader.SectionAlignment;
    printf("SectionAlignment: 0x%08X\n",dwSectionAlignment);

    DWORD dwFileAlignment = (DWORD)pNTHeader->OptionalHeader.FileAlignment;
    printf("FileAlignment: 0x%08X\n",dwFileAlignment);

    DWORD dwSizeOfImage = (DWORD)pNTHeader->OptionalHeader.SizeOfImage;
    printf("SizeOfImage: 0x%08X\n",dwSizeOfImage);

    DWORD dwNumberOfRvaAndSize = (DWORD)pNTHeader->OptionalHeader.NumberOfRvaAndSizes;
    printf("NumberOfRvaAndSizes: 0x%08X\n",dwNumberOfRvaAndSize);

    DWORD dwSectionHeaderOffset = (DWORD)pNTHeader+24+(DWORD)wSizeOfOptionalHeader;//计算节表的位置

    printf("<----------------------SectionTable---------------------->\n");
    int NumOfSec = 0;
    for(NumOfSec;NumOfSec<wNumberOfSections;NumOfSec++)
    {
        PIMAGE_SECTION_HEADER pSectionHeader = (PIMAGE_SECTION_HEADER)(dwSectionHeaderOffset + 40*NumOfSec);
        printf("%d 's Name):%s\n",NumOfSec+1,pSectionHeader->Name);
        DWORD dwVirtualAddress = (DWORD)pSectionHeader->VirtualAddress;
        printf("VirtualAddress: 0x%08X\n",dwVirtualAddress);
        DWORD dwSizeOfRawData = (DWORD)pSectionHeader->SizeOfRawData;
        printf("SizeOfRawData: 0x%08X\n",dwSizeOfRawData);
        DWORD dwPointerToRawData = (DWORD)pSectionHeader->PointerToRawData;
        printf("PointerToRawData: 0x%08X\n",dwPointerToRawData);
    }

    printf("<--------------------Export Table-------------------->\n");

    DWORD dwExportOffset = RVA2Offset(pNTHeader, pNTHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
    PIMAGE_EXPORT_DIRECTORY pExport = (PIMAGE_EXPORT_DIRECTORY)((DWORD)pbFile + dwExportOffset);
    DWORD dwFunctionNameOffset = (DWORD)pbFile + RVA2Offset(pNTHeader, pExport->Name);
    DWORD* pdwNamesAddress = (DWORD*)((DWORD)pbFile + RVA2Offset(pNTHeader, pExport->AddressOfNames));
    DWORD* pdwFunctionAddress = (DWORD*)((DWORD)pbFile + RVA2Offset(pNTHeader, pExport->AddressOfFunctions));
    WORD* pwOrdinals = (WORD*)((DWORD)pbFile + RVA2Offset(pNTHeader, pExport->AddressOfNameOrdinals));

    printf("AddressOfNameOrdinals: 0x%08X\n",RVA2Offset(pNTHeader, pExport->AddressOfNameOrdinals));
    printf("AddressOfFunctions: 0x%08X\n",RVA2Offset(pNTHeader, pExport->AddressOfFunctions));
    printf("AddressOfNames: 0x%08X\n",RVA2Offset(pNTHeader, pExport->AddressOfNames));
    if(0 == pExport->NumberOfFunctions)
    {
        printf("\n\t---------- No Export Tabel! ----------\n");
        if(NULL != pbFile)
		{
			UnmapViewOfFile(pbFile);
		}

		if(NULL != hMapping)
		{
		  CloseHandle(hMapping);
		}

		if (INVALID_HANDLE_VALUE != hFile)
		{
		    CloseHandle(hFile);
		 }

		return 0;
    }

    printf("FileName: %s\n", dwFunctionNameOffset);
    printf("NumberOfFunctions: %d\n", pExport->NumberOfFunctions);
    printf("NumberOfNames: %d\n\n", pExport->NumberOfNames);
    printf("============NameExport:\n\n");

    int IsFound[1000]={0};
    int k;
    for(k=0;k<pExport->NumberOfFunctions;k++)
    {
        IsFound[k]=0;
        //printf("%d ",IsFound[k]);
    }
	int i;
    for(i = 0; i < pExport->NumberOfNames; i++)
    {
        DWORD dwFunctionAddress = pdwFunctionAddress[pwOrdinals[i]];
        DWORD pdwFunNameOffset = (DWORD)pbFile + RVA2Offset(pNTHeader, pdwNamesAddress[i]);
        IsFound[pwOrdinals[i]]=1;
        printf("[ExportNum]: %-4d  [Name]: %-30s [RVA]: 0x%08X\n", pExport->Base + pwOrdinals[i], pdwFunNameOffset,dwFunctionAddress);
    }

    printf("\n============NumberExport:\n");

    int m;
    for(m = 0; m < pExport->NumberOfFunctions; m++)
    {
        if(IsFound[m]!=1)
        {
            DWORD dwFunctionAddress = pdwFunctionAddress[m];
            printf("[ExportNum]: %-4d [RVA]: 0x%08X\n", pExport->Base + m, dwFunctionAddress);
        }
    }

    printf("\n");

    printf("<--------------------Inport Table-------------------->\n");
    int cont = 0;
    do{
        DWORD dwInportOffset = RVA2Offset(pNTHeader, pNTHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
        dwInportOffset = dwInportOffset + cont;
        PIMAGE_IMPORT_DESCRIPTOR  pInport = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)pbFile + dwInportOffset);
        if(pInport->OriginalFirstThunk == 0&& pInport->TimeDateStamp == 0&& pInport->ForwarderChain== 0 && pInport->Name== 0 && pInport->FirstThunk== 0 )
            break;
        DWORD dwOriginalFirstThunk = (DWORD)pbFile + RVA2Offset(pNTHeader, pInport->OriginalFirstThunk);//VA to IAT
        DWORD dwFirstThunk = (DWORD)pbFile + RVA2Offset(pNTHeader, pInport->FirstThunk);//VA to IAT
        DWORD dwName = (DWORD)pbFile + RVA2Offset(pNTHeader, pInport->Name);
        printf("\n---------Inport File Name: %s\n\n",dwName);

        if(dwOriginalFirstThunk == 0x00000000)
        {
            dwOriginalFirstThunk = dwFirstThunk;
        }
        DWORD* pdwTrunkData= (DWORD*)dwOriginalFirstThunk;
        int n=0,x=0;
        while(pdwTrunkData[n] != 0)
        {
            DWORD TrunkData = pdwTrunkData[n];
            if(TrunkData < IMAGE_ORDINAL_FLAG32)//名字导入
            {
                PIMAGE_IMPORT_BY_NAME pInportByName = (PIMAGE_IMPORT_BY_NAME)((DWORD)pbFile + RVA2Offset(pNTHeader, TrunkData));
                printf("-----------InportByName: %s\n",pInportByName->Name);
            }
            else//序号导入
            {
                DWORD FunNumber = (DWORD)(TrunkData - IMAGE_ORDINAL_FLAG32);
                printf("-----------InportByNumber: %-4d ",FunNumber);
            }
            if(x != 0 && x%3==0) printf("\n");
            n++;
            x++;
        }
        cont=cont+40;
    }while(true);
    if(NULL != pbFile)
    {
        UnmapViewOfFile(pbFile);
    }

    if(NULL != hMapping)
    {
        CloseHandle(hMapping);
    }

    if (INVALID_HANDLE_VALUE != hFile)
    {
        CloseHandle(hFile);
    }
    return 0;
}

三、运行结果

1.PE头、文件头、选择头…

这里写图片描述
这里写图片描述

2.导出表部分：

这里写图片描述
…
这里写图片描述

3.导入表部分：

这里写图片描述
…
这里写图片描述

KoalaZB
关注
  • 8
    点赞
  • 踩
  • 29
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
PE文件结构详解 --（完整版）
墨鱼菜鸡
07-11 6364
From：https://blog.csdn.net/adam001521/article/details/84658708 PE结构详解：https://www.cnblogs.com/zheh/p/4008268.html PE格式解析-区段表及导入表结构详解：https://blog.csdn.net/qq_30145355/article/d...
PE文件导入表解析（C++）
05-01
通过C++编程，我们可以直接操作文件的二进制数据，从而获取程序的依赖关系，这对于动态链接库的管理和程序优化都有很大的帮助。在实际项目中，这种技术常用于静态分析工具、逆向工程和安全审计等领域。理解并实现这...
PE文件解析类（轻松制作自己的PE文件解析器）
02-06
PE是Portable Executable File Format（可移植的执行体）简写，它是目前Windows平台上的主流可执行文件格式。 PE文件中包含的内容很多，具体我就不在这解释了，有兴趣的可以参看之后列出的参考资料及其他相关内容。 最近我也在学习PE文件格式，参考了许多资料，用C++封装了一个高效方便的PE文件格式解析的类。 该类对想学PE文件结构的朋友可算一份可贵的资料，代码均很易懂，考虑较全面，具有一定的通用性。 同时该类也可以让想创建自己的PE文件解析软件的朋可以轻松在此基础上实现。 最后，错误在所难免，如果大家发现有错误，欢迎大家指正。 具体参看：http://blog.csdn.net/paschen/article/details/50640421
PE文件格式简析
Asteri5m
09-16 614
#mermaid-svg-IKxrtQXeqJCXjOiJ .label{font-family:'trebuchet ms', verdana, arial;font-family:var(--mermaid-font-family);fill:#333;color:#333}#mermaid-svg-IKxrtQXeqJCXjOiJ .label text{fill:#333}#mermaid-svg-IKxrtQXeqJCXjOiJ .node rect,#mermaid-svg-IKxrtQXeqJ
最详细PE文件格式讲解（完结篇）
SXXYNHHXX的博客
02-07 1321
/ 未使用，总为0// 文件创建时间戳// 未使用，总为0// 未使用，总为0DWORD Name;// **重要 指向一个代表此 DLL名字的 ASCII字符串的 RVADWORD Base;// **重要 函数的起始序号// **重要 导出函数地址表的个数// **重要 以函数名字导出的函数个数// **重要 导出函数地址表RVA// **重要 导出函数名称表RVA// **重要 导出函数序号表RVA输出表(ExportTable)
PE文件结构解析
lwqamm的博客
10-09 213
主要是介绍了pe文件结构导出表和导出表的一些成员，以及如何使用代码打印出它们，涉及到指针和结构体相关的知识。需要注意的是指针的类型和三张子表存储值的宽度。由于作者水平有限，文章如有错误欢迎指出。
解析PE文件代码
qq_43445167的博客
07-03 629
图形界面暂时没做出来 暑假学学QT 读文件只能在主函数里写文件路径 ， 是有点low… （流下了没技术的泪水） 头文件代码： #pragma once #include<Windows.h> class CPe { private: PTCHAR ptcFilePath; //PE文件路径 IMAGE_DOS_HEADER pe_cDosHeader; I...
基于C++实现32位PE解析工具
06-06
PE头则包含NT头，提供了关于PE文件结构的关键信息，如文件类型、入口点地址等。节表则定义了PE文件的各个节（section），每个节可能包含代码、数据或资源。数据目录包含了一系列重要的结构指针，如导入表、导出表、...
PEExplorer_8307.rar_C/C++__C/C++_
08-09
1. **PE文件结构解析**：PEExplorer允许用户查看PE头信息，包括MZ标志、COFF头、PE头以及节区信息。这些信息是理解程序内存布局和执行流程的基础。例如，通过查看节区，我们可以看到代码、数据和资源的组织方式，这...
pdf格式Pe文件结构图及工具源码,pe文件结构详解,C,C++
09-10
PDF格式的PE文件结构图及工具源码是一个深入解析PE（Portable Executable）文件格式的资源，涵盖了C和C++编程语言的相关知识。PE文件格式是Windows操作系统中用于执行程序和动态链接库（DLLs）的主要文件格式。下面...
Pe文件结构解析　　c\C++ 源程序+pe资料
05-28
Pe文件结构解析　　c\C++ 源程序+pe资料 Microsoft visual studio 2008编译 Winhex工具
PE文件结构详解_超详细_C代码.doc
03-08
PE文件结构详解_超详细，pe头详解，各数据段，各节结构，如何防病毒
C++判断pe文件实例
09-04
总的来说，识别PE文件的关键在于理解其文件结构，包括DOS头和NT头，以及如何从磁盘读取和解析这些头信息。这个C++实例提供了一个基础的框架，对于深入理解PE文件格式和进行文件分析工作非常有帮助。
PE文件结构功能和具体代码参数分析
qq_41814777的博客
10-14 751
PE文件结构： 介绍： PE格式是windows下最常用的可执行文件格式，有些应用必须建立在了解PE文件的基础上，如可执行文件的加解密、文件型病毒的查杀等。 分析PE文件，必须要了解文件是如何从磁盘被装载到内存中去的。因此，让我们先熟悉一下PE文件的基本结构。 DOS_HEADER 介绍： 该结构体大小为40h字节，e_magic标识了头部，e_lfanew指明PE文件头在文件中的位置，这个...
PE文件信息解析(Win32, C++)
FlameCyclone的博客
02-05 540
PE文件信息解析助手类, 方便地解析PE文件常见信息
写一段对pe文件分析的程序
最新发布
u011583120的博客
03-31 124
【代码】写一段对pe文件分析的程序。
学习PE文件格式后编写的简单代码(C代码)
黑子工作室
07-17 1839
/* * 近日学习pe文件格式，写了一个简单的分析程序 * 个人网站：http://ggg82.126.com * 电子邮件：ggg82@163.com * QQ:358416653 * * 本程序在win2000+vc6平台编译通过 * 学习参考：看学论坛 */#include #include #include #include #incl
C++ 获取 PE 文件的各种信息
CSDN
07-16 7825
首先感谢 cyxvc 老哥，他的代码可读性超高，精简有用以理解，我找这方面的资料好久了，这篇文章对我帮助很大。参考代码: 效果图：另外附上我的代码。😕 获取某指定区段的信息：
C++实现PE文件添加新节区（加壳器）
Anansi的博客
03-21 2624
最近潜心研究二进制安全，接触到了shellcode还有加壳脱壳有关的内容，于是心血来潮，想用自己不怎么成熟的编程功夫来实现写一个加壳器，并记录下代码编写过程中遇到的坑。 （以下文章中区段==节区） PE文件格式 pe(Portable Executable)其实就是在windows系统上的程序文件，这种文件格式在windows系列操作系统上基本上是通用的，我们平时见到的.exe、.dll、.obj...
windows c/c++编程 捕获资源管理器 文件修改
07-27
在Windows操作系统下，我们可以使用C/C++编程语言来捕获资源管理器文件的修改。首先，我们需要使用Windows API来访问资源管理器的相关功能。 首先，我们可以使用FindFirstChangeNotification函数来监视指定路径下的文件和子文件的修改。该函数需要传入要监视的路径和一个布尔值来指示是否监视子文件夹的修改。一旦文件或文件夹的修改被监测到，该函数将返回一个句柄。 接下来，我们可以使用WaitForSingleObject函数等待资源管理器文件的修改通知。该函数需要传入之前获得的句柄和超时时间，以等待通知的到来。如果文件或文件夹的修改被监测到，该函数将返回WAIT_OBJECT_0的值。 一旦我们获得了资源管理器文件的修改通知，我们可以通过遍历文件夹中的文件来确定哪些文件被修改了。可以使用FindFirstFile和FindNextFile函数来获取文件夹中的文件信息，并通过比较文件的修改时间等属性来判断是否被修改。 最后，我们可以进行一些处理操作，比如打印被修改的文件名、复制被修改的文件等。 需要注意的是，捕获资源管理器文件的修改是基于轮询机制的，即需要我们使用循环来不断检查是否有文件被修改。在需要停止监测时，我们可以使用FindCloseChangeNotification函数来关闭资源管理器文件的修改监测。 总之，通过使用C/C++编程语言和Windows API，我们可以实现对资源管理器文件的修改捕获功能，以便实时监测文件的修改情况并进行相应的处理操作。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值