详解PE文件(二十四)：节表

PE文件节表详解

什么是节表？

节表（Section Table）是PE（Portable Executable）文件中的一个重要组成部分，它紧跟在可选头（Optional Header）之后。节表是一个由IMAGE_SECTION_HEADER结构组成的数组，每个结构描述PE文件中的一个节（Section）。节的数量由文件头（IMAGE_FILE_HEADER中的NumberOfSections字段指定。

IMAGE_SECTION_HEADER结构

每个节表项的大小固定为40字节，其结构定义如下：

#define IMAGE_SIZEOF_SHORT_NAME 8

typedef struct _IMAGE_SECTION_HEADER {
    BYTE  Name[IMAGE_SIZEOF_SHORT_NAME]; // 节名称（8字节）
    union {
        DWORD PhysicalAddress;           // 物理地址（用于目标文件）
        DWORD VirtualSize;               // 虚拟大小（用于可执行文件）
    } Misc;
    DWORD VirtualAddress;                // 虚拟地址（RVA）
    DWORD SizeOfRawData;                 // 原始数据大小
    DWORD PointerToRawData;              // 指向原始数据的文件指针
    DWORD PointerToRelocations;          // 指向重定位表的指针
    DWORD PointerToLinenumbers;          // 指向行号表的指针
    WORD  NumberOfRelocations;           // 重定位项数
    WORD  NumberOfLinenumbers;           // 行号项数
    DWORD Characteristics;               // 节的属性
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

各字段详解

Name（节名称）

• 占用8个字节，用于标识节的名称
• 名称以ASCII编码保存，可能不以null字符结尾
• 常见的节名称包括：
  • .text - 包含可执行代码
  • .data - 包含已初始化的数据
  • .rdata - 包含只读数据
  • .rsrc - 包含资源数据
  • .reloc - 包含重定位信息

Misc（联合体）

这是一个联合体，包含两个字段：

• PhysicalAddress - 物理地址（用于目标文件）
• VirtualSize - 虚拟大小（用于可执行文件）

对于可执行文件，通常使用VirtualSize，表示节在内存中的实际大小。

VirtualAddress（虚拟地址）

节加载到内存后的相对虚拟地址（RVA），即节在内存中的起始位置相对于镜像基址的偏移量。

SizeOfRawData（原始数据大小）

节在磁盘文件中的大小，必须是可选头中FileAlignment字段的倍数。

PointerToRawData（原始数据指针）

节在文件中的偏移量，指向节数据在文件中的实际位置。必须是可选头中FileAlignment字段的倍数。

Characteristics（节属性）

描述节的属性，常用的标志包括：

值	含义
IMAGE_SCN_CNT_CODE	包含可执行代码
IMAGE_SCN_CNT_INITIALIZED_DATA	包含已初始化数据
IMAGE_SCN_CNT_UNINITIALIZED_DATA	包含未初始化数据
IMAGE_SCN_MEM_EXECUTE	内存中可执行
IMAGE_SCN_MEM_READ	内存中可读
IMAGE_SCN_MEM_WRITE	内存中可写

节表在PE文件中的位置

节表紧跟在可选头之后，其文件偏移可以通过以下方式计算：

1. 从DOS头获取NT头的偏移（e_lfanew）
2. 定位到NT头
3. 跳过NT头的签名（4字节）和文件头（20字节）
4. 跳过可选头（大小由文件头的SizeOfOptionalHeader字段指定）
5. 当前位置即为节表的起始位置

示例代码

以下是一个简单的示例，展示如何遍历PE文件中的节表：

#include <windows.h>
#include <stdio.h>

void PrintSectionHeaders(PVOID pFileBuffer) {
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;
    PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((BYTE*)pFileBuffer + pDosHeader->e_lfanew);
    PIMAGE_SECTION_HEADER pSectionHeader = IMAGE_FIRST_SECTION(pNtHeaders);
    
    printf("节表信息:\n");
    printf("名称\t\t虚拟地址\t虚拟大小\t原始数据大小\t原始数据指针\n");
    printf("----\t\t----\t\t----\t\t----\t\t----\n");
    
    for (int i = 0; i < pNtHeaders->FileHeader.NumberOfSections; i++) {
        printf("%.8s\t\t0x%08X\t0x%08X\t0x%08X\t\t0x%08X\n",
               pSectionHeader->Name,
               pSectionHeader->VirtualAddress,
               pSectionHeader->Misc.VirtualSize,
               pSectionHeader->SizeOfRawData,
               pSectionHeader->PointerToRawData);
        pSectionHeader++;
    }
}

总结

节表是PE文件中描述各节信息的重要数据结构，它定义了每个节在文件和内存中的位置、大小和属性。理解节表的结构对于分析和操作PE文件至关重要，特别是在进行逆向工程、恶意软件分析或PE文件编辑时。每个节表项都提供了足够的信息，使Windows加载器能够正确地将PE文件映射到内存中。