普通PE文件的基本格式整理

最新推荐文章于 2024-07-29 16:32:12 发布
置顶 最新推荐文章于 2024-07-29 16:32:12 发布
阅读量1.1k 收藏
点赞数 1
分类专栏： 软件逆向 文章标签： PE文件格式
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/WYQ2011302646/article/details/49305997
版权

普通PE文件的基本格式

  我以notepad.exe为例子说明pe文件的基本格式，因为notepad.exe具有普通PE文件的基本格式。

以下是整个PE文件的全貌：

这里写图片描述

//@2015/10/22这样比较容易看明白！大家看上面的图就好，下面的我也不删了。
文件偏移文件
00000000DOS头
00000040DOS存根
000000e0NT头
000001d8节区头(“.text”)
00000200节区头(“.data”)
00000228节区头(“.rsrc”)
NULL
00000400节区(“.text”)
NULL
00007c00节区(“.data”)
NULL
00008400节区(“.rsrc”)
NULL
00010800

一、PE头

1.1、DOS头

地址HEX数据数据注释
010000004D 5AASCII “MZ”; DOS EXE Signature
010000029000DW 0090; DOS_PartPag = 90 (144.)
010000040300DW 0003; DOS_PageCnt = 0x3
010000060000DW 0000; DOS_ReloCnt = 0x0
010000080400DW 0004; DOS_HdrSize = 0x4
0100000A0000DW 0000; DOS_MinMem = 0x0
0100000CFFFFDW FFFF; DOS_MaxMem = FFFF (65535.)
0100000E0000DW 0000; DOS_ReloSS = 0x0
01000010B800DW 00B8; DOS_ExeSP = 0xB8
010000120000DW 0000; DOS_ChkSum = 0x0
010000140000DW 0000; DOS_ExeIP = 0x0
010000160000DW 0000; DOS_ReloCS = 0x0
010000184000DW 0040; DOS_TablOff = 0x40
0100001A0000DW 0000; DOS_Overlay = 0x0

1.2 DOS 存根

DOS存根是个可选项，且大小不固定，通常包含“this program connot be run in dos mode”这个句子。

1.3、NT头 （IMAGE_NT_HEADERS）

地址HEX数据数据注释
010000E050 45 00 00ASCII “PE” ;PE signature (PE)
010000E44C01DW 014C ;Machine = IMAGE_FILE_MACHINE_I386 每个cpu拥有唯一的machine码
010000E60300DW 0003 ;NumberOfSections = 0x3 文件中存在的节区的数量
010000E887520248DD 48025287 ;TimeDateStamp = 0x48025287
010000EC00000000DD 00000000 ;PointerToSymbolTable = 0x0
010000F000000000DD 00000000 ;NumberOfSymbols = 0x0
010000F4E000DW 00E0 ;SizeOfOptionalHeader = E0 (224.)
010000F60F01DW 010F ;Characteristics = EXECUTABLE_IMAGE

characteristics 这个字段用于标识文件的属性，文件是否是可运行的形态，是否为DLL文件等信息，其中IMAG_FILE_EXECUTABLE_IMAGE = 0x0002表示文件是可执行的，IMAGE_FILE_DLL = 0x2000 表示这个文件是DLL文件

1.4、NT头 （可选头）

IMAGE_OPTIONAL_HEADER32
结构体说明：
这里写图片描述
这里写图片描述

以下是我在OllyDbg中获取到的数据，对比学习

地址HEX数据数据注释
010000F80B01DW 010B ;MagicNumber = PE32
010000FA07DB 07 ;MajorLinkerVersion = 0x7
010000FB0ADB 0A ;MinorLinkerVersion = A (10.)
010000FC00780000DD 00007800 ;SizeOfCode = 7800 (30720.)
0100010000880000DD 00008800 ;SizeOfInitializedData = 8800 (34816.)
0100010400000000DD 00000000 ;SizeOfUninitializedData = 0x0
010001089D730000DD 0000739D ;AddressOfEntryPoint = 0x739D
0100010C00100000DD 00001000 ;BaseOfCode = 0x1000
0100011000900000DD 00009000 ;BaseOfData = 0x9000
0100011400000001DD 01000000 ;ImageBase = 0x1000000
0100011800100000DD 00001000 ;SectionAlignment = 0x1000
0100011C00020000DD 00000200 ;FileAlignment = 0x200
010001200500DW 0005 ;MajorOSVersion = 0x5
010001220100DW 0001 ;MinorOSVersion = 0x1
010001240500DW 0005 ;MajorImageVersion = 0x5
010001260100DW 0001 ;MinorImageVersion = 0x1
010001280400DW 0004 ;MajorSubsystemVersion = 0x4
0100012A0000DW 0000 ;MinorSubsystemVersion = 0x0
0100012C00000000DD 00000000 ;Reserved
0100013000300100DD 00013000 ;SizeOfImage = 13000 (77824.)
0100013400040000DD 00000400 ;SizeOfHeaders = 400 (1024.)
01000138DA8A0100DD 00018ADA ;CheckSum = 0x18ADA
0100013C0200DW 0002 ;Subsystem = IMAGE_SUBSYSTEM_WINDOWS_GUI
0100013E0080DW 8000 ;DLLCharacteristics = 0x8000
0100014000000400DD 00040000 ;SizeOfStackReserve = 40000 (262144.)
0100014400100100DD 00011000 ;SizeOfStackCommit = 11000 (69632.)
0100014800001000DD 00100000 ;SizeOfHeapReserve = 100000 (1048576.)
0100014C00100000DD 00001000 ;SizeOfHeapCommit = 1000 (4096.)
0100015000000000DD 00000000 ;LoaderFlags = 0x0
0100015410000000DD 00000010 ;NumberOfRvaAndSizes = 10 (16.)
0100015800000000DD 00000000 ;Export Table address = 0x0
0100015C00000000DD 00000000 ;Export Table size = 0x0
0100016004760000DD 00007604 ;Import Table address = 0x7604
01000164C8000000DD 000000C8 ;Import Table size = C8 (200.)
0100016800B00000DD 0000B000 ;Resource Table address = 0xB000
0100016C207F0000DD 00007F20 ;Resource Table size = 7F20 (32544.)
0100017000000000DD 00000000 ;Exception Table address = 0x0
0100017400000000DD 00000000 ;Exception Table size = 0x0
0100017800000000DD 00000000 ;Certificate File pointer = 0x0
0100017C00000000DD 00000000 ;Certificate Table size = 0x0
0100018000000000DD 00000000 ;Relocation Table address = 0x0
0100018400000000DD 00000000 ;Relocation Table size = 0x0
0100018850130000DD 00001350 ;Debug Data address = 0x1350
0100018C1C000000DD 0000001C ;Debug Data size = 1C (28.)
0100019000000000DD 00000000 ;Architecture Data address = 0x0
0100019400000000DD 00000000 ;Architecture Data size = 0x0
0100019800000000DD 00000000 ;Global Ptr address = 0x0
0100019C00000000DD 00000000 ;Must be 0
010001A000000000DD 00000000 ;TLS Table address = 0x0
010001A400000000DD 00000000 ;TLS Table size = 0x0
010001A8A8180000DD 000018A8 ;Load Config Table address = 0x18A8
010001AC40000000DD 00000040 ;Load Config Table size = 40 (64.)
010001B050020000DD 00000250 ;Bound Import Table address = 0x250
010001B4D0000000DD 000000D0 ;Bound Import Table size = D0 (208.)
010001B800100000DD 00001000 ;Import Address Table address = 0x1000
010001BC48030000DD 00000348 ;Import Address Table size = 348 (840.)
010001C000000000DD 00000000 ;Delay Import Descriptor address = 0x0
010001C400000000DD 00000000 ;Delay Import Descriptor size = 0x0
010001C800000000DD 00000000 ;COM+ Runtime Header address = 0x0
010001CC00000000DD 00000000 ;Import Address Table size = 0x0
010001D000000000DD 00000000 ;Reserved
010001D400000000DD 00000000 ;Reserved

1.4、节区头 是由IMAGE_SECTION_HEADER 结构体组成的数组

1.4.1 code字段

地址HEX数据数据注释
010001D82E 74 65 78ASCII “.text” ;SECTION
010001E048770000DD 00007748 ;VirtualSize(内存中中节区所占大小) =7748 (30536.)
010001E400100000DD 00001000 ;VirtualAddress（内存中节区起始地址=RVA） = 0x1000
010001E800780000DD 00007800 ;SizeOfRawData（磁盘文件中节区所占大小） = 7800 (30720.)
010001EC00040000DD 00000400 ;PointerToRawData（磁盘文件中节区其实地址） = 0x400
010001F000000000DD 00000000 ;PointerToRelocations = 0x0
010001F400000000DD 00000000 ;PointerToLineNumbers = 0x0
010001F80000DW 0000 ;NumberOfRelocations = 0x0
010001FA0000DW 0000 ;NumberOfLineNumbers = 0x0
010001FC20000060DD 60000020 ;Characteristics节区属性 = CODE &EXECUTE &READ
//这个Characteristics由下面的值组合而成
#define IMAGE_SCN_CNT_CODE   0x00000020  //section contains code
#define ...                  0x00000040  //section contains      initialized data
#define ...                  0x00000080  //section contains      uninitialized data
#define ...                  0x20000000  //section is executable
#define ...                  0x40000000  //section is readable
#define ...                  0x80000000  //section is writable

1.4.2 data字段

地址HEX数据数据注释
010002002E 64 61 74ASCII “.data” ;SECTION
01000208A81B0000DD 00001BA8 ;VirtualSize = 1BA8 (7080.)
0100020C00900000DD 00009000 ;VirtualAddress = 0x9000
0100021000080000DD 00000800 ;SizeOfRawData = 800 (2048.)
01000214007C0000DD 00007C00 ;PointerToRawData = 0x7C00
0100021800000000DD 00000000 ;PointerToRelocations = 0x0
0100021C00000000DD 00000000 ;PointerToLineNumbers = 0x0
010002200000DW 0000 ;NumberOfRelocations = 0x0
010002220000DW 0000 ;NumberOfLineNumbers = 0x0
01000224400000C0DD C0000040 ;Characteristics = INITIALIZED_DATA

1.4.3 source字段

地址HEX数据数据注释
010002282E 72 73 72ASCII “.rsrc” ;SECTION
01000230207F0000DD 00007F20 ;VirtualSize = 7F20 (32544.)
0100023400B00000DD 0000B000 ;VirtualAddress = 0xB000
0100023800800000DD 00008000 ;SizeOfRawData = 8000 (32768.)
0100023C00840000DD 00008400 ;PointerToRawData = 0x8400
0100024000000000DD 00000000 ;PointerToRelocations = 0x0
0100024400000000DD 00000000 ;PointerToLineNumbers = 0x0
010002480000DW 0000 ;NumberOfRelocations = 0x0
0100024A0000DW 0000 ;NumberOfLineNumbers = 0x0
0100024C40000040DD 40000040 ;Characteristics = INITIALIZED_DATA
01000250A2DB A2、、

RVA to RAW

RVA 是虚拟内存地址
RAW是文件偏移
RAW -PointerToRawData = RVA - VirtualAddress

RAW = RVA - VirtualAddress + PointerToRawData

RVA + ImageBase = VirtuelAddress

VA 是进程虚拟内存的绝对地址，

蜂刺
关注
专栏目录
[系统安全] 十一.那些年的熊猫烧香及PE病毒行为机理分析
杨秀璋的专栏
01-04 6594
如果你想成为一名逆向分析或恶意代码检测工程师，或者对系统安全非常感兴趣，就必须要认真分析一些恶意样本。熊猫烧香病毒就是一款非常具有代表性的病毒，当年造成了非常大的影响，并且也有一定技术手段。本文将详细讲解熊猫烧香的行为机理，并通过软件对其功能行为进行分析，这将有助于我们学习逆向分析和反病毒工作。后续作者还将对其进行逆向调试，以及WannaCry勒索蠕虫、各种恶意样本及木马的分析。基础性文章，希望您喜欢！同时，本文部分实验参考姜晔老师的视频分析，真的非常佩服和值得去学习的一位老师。技术路上哪有享乐，为了提升安
PE文件格式
01-06
关于PE文件的简要介绍，适合初学者学习使用，希望大家能够从里面得到自己对PE文件的认识。
pe文件结构
最新发布
2303_81165358的博客
07-29 918
PE文件的全称是Portable Executable，意为可移植的可执行文件，是微软Windows操作系统上广泛使用的程序文件格式（包括间接被执行的文件，如DLL）。PE文件被称为“可移植的”是因为在所有平台（如x86、Alpha、MIPS等）上实现的Windows NT及其后续版本（如Windows 95、Windows 2000、Windows XP、Windows Vista、Windows 7、Windows 8、Windows 10等）都使用相同的可执行文件格式。
PE文件格式详解(上)
08-04 1010
Windows NT 3.1引入了一种名为PE文件格式的新可执行文件格式。PE文件格式的规范包含在了MSDN的CD中（Specs and Strategy, Specifications, Windows NT File Format Specifications），但是它非常之晦涩。 　　 然而这一的文档并未提供足够的信息，所以开发者们无法很好地弄懂PE格式。本文旨在解决这一问题，它会对整个的
逆向整理-PE
weixin_43742794的博客
02-29 481
PE相关 PE文件格式 PE文件是windows下的32位可执行文件格式，64位称为PE+或PE32+ 文件中使用偏移（offset）内存中使用VA（Virtual Address）来表示位置，VA指的是进程虚拟内存中的绝对地址，RVA（Relative Virtual Address）指从某个基准位置（ImageBase）开始的相对地址，RVA+ImageBase=VA PE头 在PE头的最前面...
老毛一键PE系统U盘制工具
08-29
- 下载合适的PE系统镜像文件，如老毛一键PE系统。 - 使用制作工具（如老毛一键PE系统U盘制工具）将镜像写入U盘，通常涉及格式化U盘、加载映像和验证等步骤。 - 完成后，U盘将成为可引导设备，可以在BIOS或UEFI...
上市公司财务报告数据大全1990-2022年度1387指标（dta+csv数据文件格式）的网盘链接.docx
02-14
根据给定文件的信息，我们可以将相关知识点分为几个部分来详细说明： ### 一、数据概况与来源 #### 数据概述： 该数据集包含了1990年至2022年间的上市公司财务报告数据，覆盖了沪深北（即上海证券交易所、深圳证券...
PE启动盘安装操作系统
吆二一的博客
02-15 5408
本文主要介绍了制作PE启动盘的方法，以及使用PE启动盘进行操作系统的安装。
PE文件格式（一）
周星星的博客
10-18 8156
PE文件是Windows操作系统下使用的可执行文件文件格式。PE文件是指32位的可执行文件，也叫PE32。64位的可执行文件称为PE+或者PE32+,是PE文件的一种扩展形式（不是PE64）。对应的结构体名字：IMAGE_OPTIONAL_HEADER32 STRUCT由于可选头字段数目多达32个，这里没有对全部字段的定义进行列举，只列举了几个相对重要的一些字段（12个）。所有含代码的节的总大小所有含已初始化数据的节的总大小所有含未初始化数据的节的大小程序执行入口RVA。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值