UPack PE文件分析
UPack
UPack 是一个运行时压缩器,它会将PE文件打乱,使正常PE文件变形,从而让分析者摸不清头脑,另外,经过UPack压缩的PE文件会小很多
经过UPack压缩的PE文件
打开经过UPack压缩的PE文件,我们可以看到文件结构与普通PE文件大不一样(包括文件头,文件节区),如下图:
DOS头有,但是只有一个签名5A4D(MZ)
DOS存根没有了
看到00004550(PE)说明NT头有,但是这个NT头距离DOS头也太近了。。。
NT头的签名后面接着就是文件头(20个字节,offset:14~27)
文件头后面就是可选头,从文件头倒数第二个4字节,我们得到可选头的大小:0x148
如下图白色部分(未全部展示)即为可选头:
可选头在这里与普通PE文件的可选头也是不同的,普通PE可选头一般大小为E0,这里为148,为什么经过UPa