Binary：COFF文件加载

于 2023-07-20 16:32:05 发布
阅读量139 收藏 2
点赞数 1
分类专栏： # Binary 文章标签： c++ windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/fishwheel/article/details/131830096
版权

1. 问题

问题是这样的，有某个运行场景，编译完成的二进制代码无法进行链接操作，只能维持在 .o(Linux) 或 .obj(windows) 状态，但是在运行时需要使用这些二进制文件中的代码。所以需要编写一个加载器来手动加载这些未经链接的二进制文件。

2. COFF文件

这个状态的文件有个名字COFF（Common Object Format File）。该文件的与PE文件非常类似（目前我只看了windows平台上的情况），可以说PE文件就是它的子集。有关COFF文件的详细介绍可以查看微软官方文档

3. 加载过程

COFF文件加载核心是重定位，既有函数的也有变量的。当然这种重定位只能局限在当前文件内，当前文件外的内容也没有办法。这里只是分享应当如何被加载，希望达到的效果就是与IDA打开之后相同的内容，不过呈现的地方在内存中罢了。

3.1 结构体

解析COFF文件的结构体都包含在了winnt.h头文件中，可以不用自己来创建相关的结构体进行解析。需要用到大概这4个结构体：IMAGE_FILE_HEADER、IMAGE_SECTION_HEADER、IMAGE_SYMBOL和IMAGE_RELOCATION。他们的定义如下：

typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;
    WORD    NumberOfSections;
    DWORD   TimeDateStamp;
    DWORD   PointerToSymbolTable;
    DWORD   NumberOfSymbols;
    WORD    SizeOfOptionalHeader;
    WORD    Characteristics;
} IMAGE_FILE_HEADER;

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];
    union {
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;
    } Misc;
    DWORD   VirtualAddress;
    DWORD   SizeOfRawData;
    DWORD   PointerToRawData;
    DWORD   PointerToRelocations;
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;
} IMAGE_SECTION_HEADER;

typedef struct _IMAGE_SYMBOL {
    union {
        BYTE    ShortName[8];
        struct {
            DWORD   Short;     // if 0, use LongName
            DWORD   Long;      // offset into string table
        } Name;
        DWORD   LongName[2];    // PBYTE [2]
    } N;
    DWORD   Value;
    SHORT   SectionNumber;
    WORD    Type;
    BYTE    StorageClass;
    BYTE    NumberOfAuxSymbols;
} IMAGE_SYMBOL;

typedef struct _IMAGE_RELOCATION {
    union {
        DWORD   VirtualAddress;
        DWORD   RelocCount;             // Set to the real count when IMAGE_SCN_LNK_NRELOC_OVFL is set
    } DUMMYUNIONNAME;
    DWORD   SymbolTableIndex;
    WORD    Type;
} IMAGE_RELOCATION;

3.2 节偏移

COFF文件中包含有很多节，节在文件中存储时是紧挨着的，当加载到内存中时需要以8对齐，这就是地址能够被8整除。所以需要事先更具每个节的大小计算出每个节在内存中的偏移地址。

偏移的计算是从第1个节开始，第0节的偏移是0，不需要计算。将上一个节的大小向上与8对齐，然后加上上一个节的偏移就能够得到当前节的内存偏移。这里的计算与IDA加载时有些不同，当某个节的大小为0时我不会为其分配8字节，而IDA会保证每个节至少有8字节。

		//save the offset of section in the memory
		for (int i = 1; i < FileHeader->NumberOfSections; i++) {
			int SectionSize = Section[i - 1].SizeOfRawData;
			//make the section align with LOADER_ALIGN
			if (SectionSize % LOADER_ALIGN) {
				SectionSize = (SectionSize / LOADER_ALIGN + 1) * LOADER_ALIGN;
			}
			SectionMemOffset[i] = SectionMemOffset[i - 1] + SectionSize;
			DBPRINT("SectionMemOffset %d is 0x%x\n", i, SectionMemOffset[i]);
		}

3.3 重定位

3.3.1 重定位地址（VirtualAddress）

重定位地址，就是需要写入数据的地址。这个地址可以通过遍历Reloc_Table来获得，其中的VirtualAddress就是相对于本节的重定位地址。

进行重定位前要对Type进行确认，只有当其为IMAGE_REL_AMD64_REL32才有需要进行重定位，其他类型可以暂时不考虑。

SymbolTableIndex可以用来寻找重定位数据所在的位置。

typedef struct _IMAGE_RELOCATION {
    union {
        DWORD   VirtualAddress;
        DWORD   RelocCount;            
    } DUMMYUNIONNAME;
    DWORD   SymbolTableIndex;
    WORD    Type;
} IMAGE_RELOCATION;

3.3.2 重定位数据（Value）

重定位数据，就是数据所在的地址。这个地址可以通过重定位表中的SymbolTableIndex找到对应的符号表项，其中的Value就是相对于本节的地址。

SectionNumber是以1开始计数的节索引，可以用来得到该符号所在的节。
StorageClass需要在重定位前进行判断，判断是否为IMAGE_SYM_CLASS_STATIC类型，如果是则需要重新考虑Value的计算方式。

typedef struct _IMAGE_SYMBOL {
	...
    DWORD   Value;
    SHORT   SectionNumber;
    WORD    Type;
    BYTE    StorageClass;
	...
} IMAGE_SYMBOL;

3.3.3 .rdata节数据

对于.rdata节有关的数据进行重定位需要进行特殊对待。

此时符号表中的StorageClass为IMAGE_SYM_CLASS_STATIC类型，且符号表中的Value为0，而修正的数据在存放在VirtualAddress所在的位置。

3.3.4 结果计算

假设VirtualAddress所在的节为i，Value所在符号表项为Clause，节偏移表为SectionMemOffset。

需要注意地址的计算起始是下一条指令，而偏移本身为4字节，所以需要加上一个4进行修正。

int Address = Value - (VirtualAddress + 4) - (SectionMemOffset[i] - SectionMemOffset[Clause->SectionNumber - 1]);

3.4 整体代码

#include <Windows.h>
#include <stdio.h>
#include <stdint.h>

//#define DEBUG
#ifdef DEBUG
#define DBPRINT(str, ...) printf(str, ##__VA_ARGS__);
#define SETCOLOR(color) SetConsoleTextAttribute(GetStdHandle(STD_OUTPUT_HANDLE), color);
#define DBPRINTCOLOR(color, str, ...) SETCOLOR(color); printf(str, ##__VA_ARGS__); SETCOLOR(CMD_WHITE);
#define CMD_RED	FOREGROUND_RED
#define CMD_WHITE FOREGROUND_RED | FOREGROUND_GREEN | FOREGROUND_BLUE
#define CMD_YELLOW FOREGROUND_RED |FOREGROUND_GREEN
#define CMD_GREEN FOREGROUND_GREEN
#define CMD_BLUE FOREGROUND_BLUE
#define CMD_PINK FOREGROUND_RED | FOREGROUND_BLUE
#define CMD_CYAN FOREGROUND_GREEN | FOREGROUND_BLUE
#else
#define DBPRINT(str, ...)
#define SETCOLOR(color)
#define DBPRINTCOLOR(color, str, ...)
#endif // DEBUG
#define LOADER_ALIGN 0x8

INT64* Loader(char* FileName) {	
	FILE* file = fopen(FileName, "rb");
	if (file == NULL) {
		printf("open %s file error\n", FileName);
		return NULL;
	}

	//get the size of the file
	fseek(file, 0, SEEK_END);
	int FSize = ftell(file);
	fseek(file, 0, SEEK_SET);

	//read the file
	char* buf = (char*)malloc(FSize);
	char* oribuf = buf;
	int readsize = fread(buf, 1, FSize, file);
	if (readsize != FSize) {
		return NULL;
	}
	SETCOLOR(CMD_YELLOW);
	DBPRINT("Loader %s\n", FileName);
	SETCOLOR(CMD_WHITE);

	IMAGE_FILE_HEADER* FileHeader = (IMAGE_FILE_HEADER*)buf;
	IMAGE_SECTION_HEADER* Section = (IMAGE_SECTION_HEADER*)(buf + sizeof(IMAGE_FILE_HEADER));
	IMAGE_SYMBOL* SymbolTable = (IMAGE_SYMBOL*)(buf + FileHeader->PointerToSymbolTable);
	IMAGE_RELOCATION* RelocTable = NULL;
	char* StringTable = (char*)&SymbolTable[FileHeader->NumberOfSymbols];	//this is for the debug
	int* SectionMemOffset = (int*)malloc(FileHeader->NumberOfSections * sizeof(int));
	memset(SectionMemOffset, 0, FileHeader->NumberOfSections * sizeof(int));
	char* RawData = NULL;

	//save the offset of section in the memory
	for (int i = 1; i < FileHeader->NumberOfSections; i++) {
		int SectionSize = Section[i - 1].SizeOfRawData;
		//make the section align with LOADER_ALIGN
		if (SectionSize % LOADER_ALIGN) {
			SectionSize = (SectionSize / LOADER_ALIGN + 1) * LOADER_ALIGN;
		}
		SectionMemOffset[i] = SectionMemOffset[i - 1] + SectionSize;
		DBPRINT("SectionMemOffset %d is 0x%x\n", i, SectionMemOffset[i]);
	}
	DBPRINT("\n");

	//relocate the data
	for (int i = 0; i < FileHeader->NumberOfSections; i++) {
		char* FileAddress = NULL;
		IMAGE_SYMBOL* Clause = NULL;
		int RVAOffset = 0;
		int BaseOffset = 0;
		//1. when relocate the function, the Value field of SymbolTable is the Value.
		//2. however, when it comes to relocate data referring rdata, the Value become zero
		//the Value needed is saved in the VirtualAddress position.
		int Value = 0;
		RelocTable = (IMAGE_RELOCATION*)(buf + Section[i].PointerToRelocations);
		RawData = buf + Section[i].PointerToRawData;
		for (int j = 0; j < Section[i].NumberOfRelocations; j++) {
			if (RelocTable[j].Type != IMAGE_REL_AMD64_REL32) {
				continue;
			}
			Clause = &SymbolTable[RelocTable[j].SymbolTableIndex];
			FileAddress = RawData + RelocTable[j].VirtualAddress;
			//the rdata
			if (Clause->StorageClass == IMAGE_SYM_CLASS_STATIC) {
				Value = *(int*)FileAddress;
			}
			//the function
			else {
				Value = Clause->Value;
			}
			RVAOffset = Value - (RelocTable[j].VirtualAddress + 4);
			BaseOffset = SectionMemOffset[i] - SectionMemOffset[Clause->SectionNumber - 1];
			*(int*)FileAddress = RVAOffset - BaseOffset;
						
			//Below is the Debug Information
			//the Name is less than 8 bytes
			if (Clause->N.Name.Short) {
				SETCOLOR(CMD_CYAN);
				DBPRINT("Name : %s\n", Clause->N.ShortName);
				SETCOLOR(CMD_WHITE);
			}
			//the Name is more than 8 bytes
			else {
				SETCOLOR(CMD_CYAN);
				DBPRINT("Name : %s\n", StringTable + Clause->N.Name.Long);
				SETCOLOR(CMD_WHITE);
			}
			DBPRINT("Value 0x%x\n", Value);
			DBPRINT("VirtualAddress 0x%x\n", RelocTable[j].VirtualAddress);
			DBPRINT("BaseOffset 0x%x\n", BaseOffset);
			DBPRINT("Relocation Offset 0x%x\n", *(int*)FileAddress);
			DBPRINT("\n");
		}
	}

	//write to the execute memroy
	int TotalSize = SectionMemOffset[FileHeader->NumberOfSections - 1] + Section[FileHeader->NumberOfSections - 1].SizeOfRawData;
	LPVOID pAddr = VirtualAlloc(NULL, TotalSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
	memset(pAddr, 0x90, TotalSize);

	//loader to the executable memory
	for (int i = 0; i < FileHeader->NumberOfSections; i++) {
		memcpy((char*)pAddr + SectionMemOffset[i], buf + Section[i].PointerToRawData, Section[i].SizeOfRawData);
	}
	DBPRINT("\n");
	fclose(file);
	free(oribuf);
	free(SectionMemOffset);

	return (INT64*)pAddr;
}

4. 探索历程

这一章是我的私货内容，记录一下上述代码的探索历程。

刚接触这个问题的时候也是一脸茫然的，进行搜索时没有找到相应的代码，还在至少找到了微软对于COFF文件的官方文档。探索的过程主要使用了两个工具010 editor和IDA，这两个工具使用起来太方便的。

通过010 editor可以看到COFF文件的具体二进制形式，同时相应的模板也使用了对应的结构体对于文件进行了分析。

在这里插入图片描述 其中可以清晰的得到每个字段的内容。

IDA中则是已经加载好了COFF文件内容，当COFF被加载到内存中是应当与其相似。
在这里插入图片描述
一开始我并不知道如何计算重定位所需要的内容，IDA中是已经加载好的内容，而在010 editor中重定位地址处的值为0（.rdata节数据除外）。通过010 editor中看到的数据进行手动尝试，不断的计算与IDA中地址进行比较，最后得到了3.3.4中的计算公式。

如果某位读者想尝试手动计算，也可以试试，通过010获取相应的数据按照给出的公式进行计算，然后使用IDA中的结果进行验证。

fishwheel
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
记：COFF文件下的解析说明
liquid soul
01-24 1372
0x00 序言 本文是因为当前的COFF文件中对于当前的芯片的软件构建，COFF本身是在很久以前的文件了，所以现在在互联网上的资料极少，且当年的COFF文件主要是在替换a.out文件格式，也就是对其的可扩展性增加。而ELF也是对于其的增加，COFF就被夹在了中间，所以这份COFF文档会和我的ELF解析差不多。 而因为COFF已经是上个世纪的不需要太对兼容负责的程序格式了，所以自然也就是直接淘汰在现在的执行序列里面了，除了固定的一些应用场景，已经越来越少看到这类文件了。 而且现在的解析器也越来越少，所以很多软
coff文件格式详细说明、有关DSP的coff说明、图_文实例解剖coff （合集）
07-18
三文档合集 coff详细说明.doc DSP-coff.doc 图、文解剖coff.doc
COFF文件
weixin_30800987的博客
08-12 114
SimpleSection.c文件 int printf(const char* format,...); int global_int_var = 84; int global_unint_var; void func1(int i) { printf("%d\n",i); } int main(void) { static int ...
简单理解COFF文件
最新发布
小木子先生的博客
06-10 1597
COFF文件是我在初学对象模型的时候看底层代码用的，是通过obj文件转换的，也就是一种目标文件官方描述：COFF（Common Object File Format）是一种常见的目标文件格式，用于存储可重定位目标文件、静态库文件和可执行文件。COFF最初由UNIX System Laboratories（USL）定义，现在被广泛地使用在各种操作系统上，包括Windows、Linux和BSD等。
目标文件（.obj）的COFF文件结构
kylinok的博客
09-04 346
x86平台下，目标文件（.obj）的COFF文件结构，后面再来详细介绍。
pe-coff-viewer：使用浏览器查看pe coff文件
02-18
PE COFF查看器 用于浏览器的非常简单的PE COFF查看器。 将pe文件（.exe，.dll）拖到空白区域。 演示网址： 尖端 使用ctrl键并单击以在base 10和base 16之间更改基数。
osgEarthX-binary:osgEarthX可执行文件
05-12
osgEarthX-binary是一个针对osgEarth扩展的可执行文件，它主要关注的是将osgEarth的功能集成到JavaScript环境中。osgEarth是一个开源的、基于OpenSceneGraph（OSG）的库，用于在三维地球上显示地理数据。这个可执行...
literate-binary:集成手工制作的二进制文件和文档
04-25
识字二进制有时候，必须手工制作二进制文件，无论是出于测试目的，研究目的，还是只是出于某种奇怪的乐趣。 通常，十六进制编辑器是直接进行二进制编辑的首选工具。 但是文档呢？ 无法在十六进制编辑器中输入内嵌...
pullcontainer-binary:pullcontainer 的二进制文件
07-07
pulldocker可让您轻松快速地试用 Docker 应用程序。 了解更多。 ...$> sudo tar -xzf pulldocker.tgz /usr/bin/ $> sudo pulldocker busybox -o mybb ...BusyBox v1.22.1 (2014-05-22 23:22:11 UTC) multi-call binary.
image2binary:image2binary全部
04-13
"image2binary:image2binary全部"这个项目显然关注的是将RGB彩色图像转换为二进制图像的过程，这是一种将图像简化并提取其关键特征的方法。下面将详细讨论相关知识点。 首先，RGB图像是一种常见的彩色图像格式，它...
PE和coff文件规范
03-28
详细说明PE文件和coff文件规范，对此文件格式有兴趣的朋友来下载吧
coff2omf转换工具
05-02
coff2omf转换工具
parse-stl-binary:STL 二进制解析器
06-14
$ npm install parse-stl-binary 用法 var parseSTL = require ( 'parse-stl-binary' ) ; var fs = require ( 'fs' ) ; var buf = fs . readFileSync ( 'mesh.stl' ) ; var mesh = parseSTL ( buf ) ; console . ...
COFF
热门推荐
xiaoshahai的专栏
02-19 1万+
COFF 2007年07月17日 星期二 下午 4:47 COFF – 通用对象文件格式（Common Object File Format），是一种很流行的对象文件格式（注意：这里不说它是“目标”文件，是为了和编译器产生的目标文件（*.o/*.obj）相区别，因为这种格式不只用于目标文件，库文件、可执行文件也经常是这种格式）。大家可能会经常使用VC吧？它所产生的目标文件（*.
学习笔记----COFF文件结构
KinoluKaslana的学习笔记
08-30 1355
学习笔记----COFF文件结构
一个coff文件格式的观察
Li Junhui的专栏
10-06 1484
一个coff文件格式的观察                                       -- 2008-10-4 ljhhh0123    我采用自底向上的方法来学习coff文件格式,并体会汇编器的行为,这是一个好方法.用vc6.0sp6编译的lcc将hello1.c编译成汇编语言,再用masm32v8的汇编器得到的.obj文件,倾印下来,本文的二进制字节序为little-en
【编译汇编链接】COFF文件及结构说明
此地无银
02-26 3708
COFF文件结构说明
LLVM LLD COFF格式分析
zhangxiang0503的博客
08-23 648
LLVM COFF
COFF文件的格式
redleaves的专栏
09-17 9661
COFF格式     COFF – 通用对象文件格式（Common Object File Format），是一种很流行的对象文件格式（注意：这里不说它是“目标”文件，是为了和编译器产生的目标文件（*.o/*.obj）相区别，因为这种格式不只用于目标文件，库文件、可执行文件也经常是这种格式）。大家可能会经常使用VC吧？它所产生的目标文件（*.obj）就是这种格式。其
binary:part/3的作用
05-31
`binary:part/3`函数用于从二进制字符串中提取子串。它接收三个参数： - 二进制字符串：需要从中提取子串的二进制数据。 - 起始位置：子串的起始位置，以字节数表示。 - 子串长度：需要提取的子串长度，以字节数表示。 例如，假设你有一个二进制字符串`<<1, 2, 3, 4, 5>>`，你可以使用`binary:part/3`函数提取子串`<<2, 3>>`，代码如下： ``` BinaryString = <<1, 2, 3, 4, 5>>, StartIndex = 2, Length = 2, SubBinaryString = binary:part(BinaryString, StartIndex, Length). ``` 上面的代码中，`BinaryString`是需要从中提取子串的二进制字符串，`StartIndex`是子串的起始位置，`Length`是需要提取的子串长度，`SubBinaryString`是提取出来的子串。 `binary:part/3`函数还可以在一个二进制字符串中提取多个子串，只需要多次调用该函数即可。例如，如果你想从上面的二进制字符串中提取子串`<<2>>`和`<<3>>`，你可以这样做： ``` BinaryString = <<1, 2, 3, 4, 5>>, SubBinaryString1 = binary:part(BinaryString, 2, 1), SubBinaryString2 = binary:part(BinaryString, 3, 1). ``` 上面的代码中，`SubBinaryString1`和`SubBinaryString2`分别是提取出来的子串`<<2>>`和`<<3>>`。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值