iczelion pe tutcn5 (转)

最新推荐文章于 2024-09-11 19:53:29 发布
最新推荐文章于 2024-09-11 19:53:29 发布
阅读量125 收藏
点赞数
文章标签： 操作系统
iczelion pe tutcn5 (转)[@more@]

 

PE教程5: Section Table（节表）

 

理论:

到本课为止，我们已经学了许多关于 Dos header 和 PE header 的知识。接下来就该轮到 section table（节表）了。节表其实就是紧挨着 PE header 的一结构数组。该数组成员的数目由 file header (IMAGE_FILE_HEADER) 结构中 NumberOfSections 域的域值来决定。节表结构又命名为 IMAGE_SECTION_HEADER。

IMAGE_SIZEOF_SHORT_NAME equ 8

IMAGE_SECTION_HEADER STRUCT
 Name1 db IMAGE_SIZEOF_SHORT_NAME dup(?)
 union Misc
 PhysicalAddress dd ?
 VirtualSize dd ?
 ends
 VirtualAddress dd ?
 SizeOfRawData dd ?
 PointerToRawData dd ?
 PointerToRelocations dd ?
 PointerToLinenumbers dd ? 哦
 NumberOfRelocations dw ?
 NumberOfLinenumbers dw ?
 Characteristics dd ?
IMAGE_SECTION_HEADER ENDS

同样，不是所有成员都是很有用的，我们只关心那些真正重要的。

Field Meanings Name1 事实上本域的名称是"name"，只是"name"已被MASM用作关键字，所以我们只能用"Name1"代替。这儿的节名长不超过8字节。记住节名仅仅是个标记而已，我们选择任何名字甚至空着也行，注意这里不用null结束。命名 不是一个ASCIIZ字符串，所以不用null结尾。 VirtualAddress 本节的RVA（相对虚拟地址）。PE装载器将节映射至 内存时会读取本值，因此如果域值是1000h，而PE 文件装在地址400000h处，那么本节就被载到401000h。 SizeOfRawData 经过文件对齐处理后节尺寸，PE装载器提取本域值了解需映射入内存的节字节数。（译者注: 假设一个文件的文件对齐尺寸是0x200，如果前面的  VirtualSize域指示本节长度是0x388字节，则本域值为0x400，表示本节是0x400字节长）。 PointerToRawData 这是节基于文件的偏移量，PE装载器通过本域值找到节数据在文件中的位置。 Characteristics 包含标记以指示节属性，比如节是否含有可 执行代码、初始化数据、未初始数据，是否可写、可读等。

现在我们已知晓 IMAGE_SECTION_HEADER 结构，再来模拟一下 PE装载器的工作吧:

  1. 读取 IMAGE_FILE_HEADER 的 NumberOfSections域，知道文件的节数目。
  2. SizeOfHeaders 域值作为节表的文件偏移量，并以此定位节表。
  3. 遍历整个结构数组检查各成员值。
  4. 对于每个结构，我们读取PointerToRawData域值并定位到该文件偏移量。然后再读取SizeOfRawData域值来决定映射内存的字节数。将VirtualAddress域值加上ImageBase域值等于节起始的虚拟地址。然后就准备把节映射进内存，并根据Characteristics域值设置属性。
  5. 遍历整个数组，直至所有节都已处理完毕。

注意我们并没有使用节名: 这其实并不重要。

示例:

本例程打开一PE文件遍历其节表，并在列表框控件显示各节的信息。

.386
.model flat,stdcall
option casemap:none
include masm32includewindows.inc
include masm32includekernel32.inc
include masm32includecomdlg32.inc
include masm32includeuser32.inc
include masm32includecomctl32.inc
includelib masm32libcomctl32.lib
includelib masm32libuser32.lib
includelib masm32libkernel32.lib
includelib masm32libcomdlg32.lib

IDD_SECTIONTABLE equ 104
IDC_SECTIONLIST equ 1001

SEH struct


PrevLink dd ? ; the address of the previous seh structure
CurrentHandler dd ? ; the address of the new exception handler
SafeOffset dd ? ; The offset where it's safe to continue execution
PrevEsp dd ? ; the old value in esp
PrevEbp dd ? ; The old value in ebp
SEH ends

.data
AppName db "PE tutorial no.5",0
ofn OPENFILENAME <>
FilterString db "Executable Files (*.exe, *.dll)",0,"*.exe;*.dll",0
  db "All Files",0,"*.*",0,0
FileOpenError db "Cannot open the file for reading",0
FileOpenMappingError db "Cannot open the file for memory mapping",0
FileMappingError db "Cannot map the file into memory",0
FileInValidPE db "This file is not a valid PE",0
template db "%08lx",0
SectionName db "Section",0
VirtualSize db "V.Size",0
VirtualAddress db "V.Address",0
SizeOfRawData db "Raw Size",0
RawOffset db "Raw Offset",0
Characteristics db "Characteristics",0

.data?
hInstance dd ?
buffer db 512 dup(?)
hFile dd ?
hMapping dd ?
pMapping dd ?
ValidPE dd ?
NumberOfSections dd ?

.code
start proc
LOCAL seh:SEH
  invoke GetModuleHandle,NULL
 mov hInstance,eax
 mov ofn.lStructSize,SIZEOF ofn
  mov ofn.lpstrFilter, OFFSET FilterString
  mov ofn.lpstrFile, OFFSET buffer
  mov ofn.nMaxFile,512
  mov ofn.Flags, OFN_FILEMUSTEXIST or OFN_PATHMUSTEXIST or OFN_LONGNAMES or OFN_EXPLORER or OFN_HideREADONLY
  invoke GetOpenFileName, ADDR ofn
  .if eax==TRUE
  invoke CreateFile, addr buffer, GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL
  .if eax!=INVALID_HANDLE_VALUE
 mov hFile, eax
  invoke CreateFileMapping, hFile, NULL, PAGE_READONLY,0,0,0
  .if eax!=NULL
  mov hMapping, eax
  invoke MapViewOfFile,hMapping,FILE_MAP_READ,0,0,0
  .if eax!=NULL
 mov pMapping,eax
  assume fs:nothing
  push fs:[0]
  pop seh.PrevLink
  mov seh.CurrentHandler,offset SEHHandler
  mov seh.SafeOffset,offset FinalExit
  lea eax,seh
  mov fs:[0], eax
  mov seh.PrevEsp,esp
  mov seh.PrevEbp,ebp
  mov edi, pMapping
  assume edi:ptr IMAGE_DOS_HEADER
  .if [edi].e_magic==IMAGE_DOS_SIGNATURE
  add edi, [edi].e_lfanew
 assume edi:ptr IMAGE_NT_HEADERS
  .if [edi].Signature==IMAGE_NT_SIGNATURE
  mov ValidPE, TRUE
 .else
  mov ValidPE, FALSE
  .endif
   .else
 mov ValidPE,FALSE
  .endif
FinalExit:
   push seh.PrevLink
  pop fs:[0]
  .if ValidPE==TRUE
  call ShowSectionInfo
  .else
  invoke MessageBox, 0, addr FileInValidPE, addr AppName, MB_OK+MB_ICONINFORMATION
  .endif
  invoke UnmapViewOfFile, pMapping
  .else
  invoke MessageBox, 0, addr FileMappingError, addr AppName, MB_OK+MB_ICONERROR
 .endif
  invoke CloseHandle,hMapping
  .else
  invoke MessageBox, 0, addr FileOpenMappingError, addr AppName, MB_OK+MB_ICONERROR
  .endif
  invoke CloseHandle, hFile
 .else
  invoke MessageBox, 0, addr FileOpenError, addr AppName, MB_OK+MB_ICONERROR
  .endif
 .endif
 invoke ExitProcess, 0
 invoke InitCommonControls
start endp

SEHHandler proc uses edx pExcept:Dword,pFrame:DWORD,pContext:DWORD,pDispatch:DWORD
  mov edx,pFrame
  assume edx:ptr SEH
 mov eax,pContext
  assume eax:ptr CONTEXT
  push [edx].SafeOffset
  pop [eax].regEip
  push [edx].PrevEsp
  pop [eax].regEsp
  push [edx].PrevEbp
  pop [eax].regEbp
  mov ValidPE, FALSE
  mov eax,ExceptionContinueExecution
  ret
SEHHandler endp

DlgProc proc uses edi esi hDlg:DWORD, uMsg:DWORD, wParam:DWORD, lParam:DWORD
  LOCAL lvc:LV_COLUMN
  LOCAL lvi:LV_ITEM
  .if uMsg==WM_INITDIALOG
  mov esi, lParam
  mov lvc.imask,LVCF_FMT or LVCF_TEXT or LVCF_WIDTH or LVCF_SUBITEM
  mov lvc.fmt,LVCFMT_LEFT
  mov lvc.lx,80
  mov lvc.iSubItem,0
  mov lvc.pszText,offset SectionName
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTCOLUMN,0,addr lvc inc lvc.iSubItem
  mov lvc.fmt,LVCFMT_RIGHT
  mov lvc.pszText,offset VirtualSize
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTCOLUMN,1,addr lvc
  inc lvc.iSubItem
  mov lvc.pszText,offset VirtualAddress
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTCOLUMN,2,addr lvc
  inc lvc.iSubItem
  mov lvc.pszText,offset SizeOfRawData
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTCOLUMN,3,addr lvc
  inc lvc.iSubItem
  mov lvc.pszText,offset RawOffset
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTCOLUMN,4,addr lvc
  inc lvc.iSubItem
  mov lvc.pszText,offset Characteristics
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTCOLUMN,5,addr lvc
 mov ax, NumberOfSections
  movzx eax,ax
  mov edi,eax  
  mov lvi.imask,LVIF_TEXT
  mov lvi.iItem,0
  assume esi:ptr IMAGE_SECTION_HEADER
  .while edi>0
  mov lvi.iSubItem,0
  invoke RtlZeroMemory,addr buffer,9
 invoke lstrcpyn,addr buffer,addr [esi].Name1,8
  lea eax,buffer
  mov lvi.pszText,eax
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTITEM,0,addr lvi
  invoke wsprintf,addr buffer,addr template,[esi].Misc.VirtualSize
  lea eax,buffer
  mov lvi.pszText,eax
  inc lvi.iSubItem
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_SETITEM,0,addr lvi
  invoke wsprintf,addr buffer,addr template,[esi].VirtualAddress
  lea eax,buffer
  mov lvi.pszText,eax
  inc lvi.iSubItem
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_SETITEM,0,addr lvi
  invoke wsprintf,addr buffer,addr template,[esi].SizeOfRawData
  lea eax,buffer
 mov lvi.pszText,eax
  inc lvi.iSubItem
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_SETITEM,0,addr lvi
  invoke wsprintf,addr buffer,addr template,[esi].PointerToRawData
  lea eax,buffer
  mov lvi.pszText,eax
  inc lvi.iSubItem
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_SETITEM,0,addr lvi
  invoke wsprintf,addr buffer,addr template,[esi].Characteristics
  lea eax,buffer
  mov lvi.pszText,eax
  inc lvi.iSubItem
  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_SETITEM,0,addr lvi
  inc lvi.iItem
  dec edi
  add esi, sizeof IMAGE_SECTION_HEADER
  .endw
  .elseif
  uMsg==WM_CLOSE
  invoke EndDialog,hDlg,NULL
  .else
  mov eax,FALSE
  ret
 .endif
  mov eax,TRUE
  ret
DlgProc endp

ShowSectionInfo proc uses edi
  mov edi, pMapping
  assume edi:ptr IMAGE_DOS_HEADER
  add edi, [edi].e_lfanew
  assume edi:ptr IMAGE_NT_HEADERS
  mov ax,[edi].FileHeader.NumberOfSections
  movzx eax,ax
  mov NumberOfSections,eax
  add edi,sizeof IMAGE_NT_HEADERS
  invoke DialogBoxParam, hInstance, IDD_SECTIONTABLE,NULL, addr DlgProc, edi
  ret
ShowSectionInfo endp
end start

分析:

本例重用了PE教程2的代码，校验PE文件的有效性后，继续调用函数ShowSectionInfo显示各节信息。

ShowSectionInfo proc uses edi
  mov edi, pMapping
  assume edi:ptr IMAGE_DOS_HEADER
  add edi, [edi].e_lfanew
  assume edi:ptr IMAGE_NT_HEADERS

我们将edi用作指向PE文件数据的指针。首先，将指向DOS header地址的pMapping赋给edi，再加上e_lfanew域值等于PE header的地址。

  mov ax,[edi].FileHeader.NumberOfSections
  mov NumberOfSections,ax

因为我们要遍历节表，所以必须先获取文件的节数目。这就得靠file header里的NumberOfSections域了，切记这是个word域。

  add edi,sizeof IMAGE_NT_HEADERS

现在edi正指向PE header的起始地址，加上PE header结构大小后恰好指向节表了。

  invoke DialogBoxParam, hInstance, IDD_SECTIONTABLE,NULL, addr DlgProc, edi

调用 DialogBoxParam 显示列表对话框，注意我们已将节表地址作为最后一个参数传递过去了，该值可从WM_INITDIALOG 消息的lParam参数中提取。

在对话框过程里我们响应WM_INITDIALOG消息，将lParam值 (节表地址)存入esi，节数目赋给edi并设置列表控件。万事俱备后，进入循环将各节信息插入到列表控件中，这部分相当简单。

  .while edi>0
  mov lvi.iSubItem,0

字符串置入第一列。

  invoke RtlZeroMemory,addr buffer,9
 invoke lstrcpyn,addr buffer,addr [esi].Name1,8
  lea eax,buffer
  mov lvi.pszText,eax

要显示节名，当然要将其转换为ASCIIZ字符串先。

  invoke SendDlgItemMessage,hDlg,IDC_SECTIONLIST,LVM_INSERTITEM,0,addr lvi

然后显示第一列。
继续我们伟大的工程，显示完本节中最后一个欲呈现的值后，立马下一个结构。

  dec edi
  add esi, sizeof IMAGE_SECTION_HEADER
  .endw

每处理完一节就递减edi，然后将esi加上IMAGE_SECTION_HEADER 结构大小，使其指向下一个IMAGE_SECTION_HEADER 结构。

遍历节表的步骤:

  1. PE文件有效性校验。
  2. 定位到 PE header 的起始地址。
  3. 从 file header 的 NumberOfSections域获取节数。
  4. 通过两种方法定位节表: ImageBase+SizeOfHeaders 或者 PE header的起始地址+ PE header结构大小。 (节表紧随 PE header)。如果不是使用文件映射的方法，可以用SetFilePointer 直接将文件指针定位到节表。节表的文件偏移量存放在 SizeOfHeaders域里。(SizeOfHeaders 是 IMAGE_OPTIONAL_HEADER 的结构成员)
  5. 处理每个 IMAGE_SECTION_HEADER 结构。

翻译：iamgufeng [win32asm.cjb.NET/">Iczelion's Win32 Assembly Homepage][LuoYunBin's Win32 ASM Page]

　


来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/10752043/viewspace-990440/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/10752043/viewspace-990440/

csd3176
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
PE文件-检验PE文件的有效性--转自iczelion,附vc示范
jiangtongcn的专栏
07-16 1252
同样我首先附上Iczelion的PE文档:如何才能校验指定文件是否为一有效PE文件呢? 这个问题很难回答，完全取决于想要的精准程度。您可以检验PE文件格式里的各个数据结构，或者仅校验一些关键数据结构。大多数情况下，没有必要校验文件里的每一个数据结构，只要一些关键数据结构有效，我们
PE文件-导出表[EXPORT TABLE]--转自iczelion,附vc示范和图例
jiangtongcn的专栏
07-17 1850
首先我贴上导出表结构图例：理论:当PE装载器执行一个程序，它将相关DLLs都装入该进程的地址空间。然后根据主程序的引入函数信息，查找相关DLLs中的真实函数地址来修正主程序。PE装载器搜寻的是DLLs中的引出函数。DLL/EXE要引出一个函数给其他DLL/EXE使用，有两种实现方
iczelion pe tutcn2 (转)
csd3176的博客
12-09 159
iczelion pe tutcn2 (转)[@more@] PE教程2: 检验PE文件的有效性 本教程中我们将学习如何检测给定文件是一有效PE文件。下载 DOWNLOAD/pe/pe-tutorial/files/PE-...
iczelion pe tutcn6 (转)
csd3176的博客
12-09 118
iczelion pe tutcn6 (转)[@more@] PE教程6: Import Table（引入表） 本课我们将学习引入表。先警告一下，对于不熟悉引入表的读者来说，这是一堂又长又难的课，所以需要多读几遍，最好再打...
iczelion pe tutcn3 (转)
csd3176的博客
12-09 52
iczelion pe tutcn3 (转)[@more@] PE教程3: File Header （文件头） 本课我们将要研究 PE header 的 file header（文件头）部分。 至此，我们已经学到了哪些东...
iczelion pe tutcn7 (转)
csd3176的博客
12-09 80
iczelion pe tutcn7 (转)[@more@] PE教程7: Export Table（引出表） 上一课我们已经学习了动态联接中关于引入表那部分知识，现在继续另外一部分，那就是引出表。 理论: 当P...
Iczelion的Win32汇编教程
08-23
Iczelion的Win32汇编教程,传说中的经典win32汇编教程
Iczelion 的 Win32asm 教程
09-24
【Iczelion的Win32asm教程】是面向学习32位汇编语言程序设计者的经典教程，适合初学者入门。本教程基于Win32环境，讲解如何使用MASM进行汇编语言编程。 在32位汇编语言中，程序运行在80386及其后续的X86系列CPU的...
Iczelion汇编完全教程+程序实例
05-13
《Iczelion汇编完全教程+程序实例》是一份深受IT爱好者追捧的资源，它由知名编程专家Iczelion编写，专注于讲解WIN32平台下的汇编语言编程。这份教程不仅包含了全面的理论知识，更注重实践，提供了丰富的程序实例，...
Shell脚本流程控制（Linux篇）
m0_67771087的博客
09-07 1010
流程控制是改变程序运行顺序的指令。
145-Linux权限维持&Rootkit后门&Strace监控&Alias别名&Cron定时任务
DamnVanish的博客
09-07 819
Linux中最强权限维持rootkit
DOS脚本分析
YJlio的博客
09-11 234
S-1-5-19是本地服务帐户的安全标识符（SID），通常用于判断是否有足够的权限。：该行命令生成一个VBScript文件，通过Shell对象以管理员权限重新运行当前批处理文件（%~f0表示当前脚本的完整路径，runas表示以管理员权限运行）。else：如果ping失败（即网络连接中断状态），则显示提示信息并进入pause，等待用户按键，然后重新检查网络连接。ping *** >nul：通过ping命令检测指定服务器（***）是否有效。||: 表示如果前面的命令失败，则执行后面的部分。
linux运维常见命令行
wendao76的专栏
09-09 1670
linux常用命令行，用户管理，文件管理， 磁盘管理， 网络管里，进程管理等等
Linux服务器Java启动脚本
Jack魏
09-08 545
本文章介绍了如何在Linux服务器上执行Java并启动jar包，通常我们会使用nohup直接启动，但是还是需要手动停止然后再次启动，那如何更优雅的在服务器上启动jar包呢，让我们一起探讨一下吧。
HarmonyOS Next系列之实现一个左右露出中间大两边小带缩放动画的轮播图（十二）
pixle的博客
09-09 1089
HarmonyOS Next（基于API12）实现一个左右露出中间大两边小带缩放动画的轮播图。
大模型推理--PagedAttention
姚光超的专栏
09-11 836
在上一篇博客《》中详细介绍了大模型推理的decoding阶段可以采用KV Cache来优化重复计算的原理。虽然KV Cache大幅提升了大模型token生成的速度，但是也引入了新的问题，主要有两个：1. KV Cache在长上下文的情况下占用量非常大，导致batch很小，进而影响吞吐量，甚至根本无法支持长上下文；2. 大模型推理的时候无法预知会产生多少token，所以无法给KV Cache预分配空间，现在的通用做法是按照生成token的上限来分配空间，这产生了非常大的空间浪费。
数据处理与统计分析篇-day01-Linux基础与环境搭建
最新发布
m0_60916732的博客
09-11 1129
用户 操作 操作系统, 由操作系统 操作计算机硬件 来干活.它是在服务器端应用比较多的一款操作系统, 相对更加的稳定一点.日志主要是往磁盘中写的, 只会占用少量的内存, 相对更加稳定.作者林纳斯·托瓦兹吉祥物企鹅组成Linux的发行版 = Linux内核 + 系统库 + 系统软件常见的发行版:Ubantu: 乌班图, 界面做的比较好, 适合小白入门.RedHat: 小红帽, IBM公司的产品, 收费的.CentOS: IBM公司的产品, 可以理解为 小红帽的 阉割版.
Windows自动化程序开发指南
隔窗听雨眠的博客
09-04 2276
自动化程序”指的是通过电脑编程来代替人类手工操作的一类程序或软件。这类程序具有智能性高、应用范围广的优点，但是自动化程序的开发难度大、所用技术杂。本文对自动化程序开发的各个方面进行讲解。
PE文件与脱壳基础：入门教程
学习者可以通过查阅ah007、qduwg和Iczelion's等翻译版本的PE文件格式文档来理解其基本构成，如头部信息、节区、导入表和资源表等。实践学习方面，推荐使用像HexWorkshop、WinHex这样的十六进制编辑器，或者Stud_PEv...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值