深入剖析内存中的 PE 结构：原理、代码与实践

阿贾克斯的黎明

于 2025-02-10 21:29:01 发布

阅读量608

点赞数 7

分类专栏： C++ 文章标签： windows

本文链接：https://blog.csdn.net/m0_57836225/article/details/145537592

版权

C++ 专栏收录该内容

156 篇文章

订阅专栏

深入剖析内存中的 PE 结构：原理、代码与实践

在 Windows 系统下，PE（Portable Executable）结构是可执行文件的基础，深入理解它对系统开发、逆向工程、恶意软件分析等领域至关重要。接下来，我们就从 PE 结构的基础概念开始，逐步深入到内存中的 PE 结构分析，并通过代码示例辅助理解。

一、PE 结构基础概念

PE 结构是 Windows 操作系统下可执行文件（如.exe、.dll）的文件格式，它取代了早期的 OMF（Object Module Format）和 LE（Linear Executable）格式，旨在提供更灵活、高效的可执行文件管理方式。

PE 结构主要由 DOS 头（DOS Header）、DOS 存根（DOS Stub）、PE 头（PE Header）、节表（Section Table）以及各个节（Section）组成。

DOS 头：位于文件起始位置，主要用于兼容早期的 DOS 系统。它包含了一些基本信息，如文件的标识、大小等，其中e_magic字段值为0x5A4D（即 “MZ”），用于标识这是一个有效的 DOS 可执行文件。
DOS 存根：紧跟在 DOS 头之后，是一段在 DOS 系统下执行时显示错误信息的程序代码，在 Windows 系统中通常被忽略。
PE 头：真正的 PE 结构起始于 PE 头，它包含了文件的总体信息，如文件的目标操作系统、文件类型（exe 或 dll）、文件的入口点等关键信息。
节表：描述了文件中各个节的属性和位置，每个节都有自己的名称、大小、虚拟地址等信息。常见的节有.text（代码节）、.data（数据节）、.rsrc（资源节）等。
节：是文件中实际包含代码或数据的区域，每个节都有特定的用途，并且在内存中按照节表的描述进行加载和布局。

二、内存中的 PE 结构布局

当一个 PE 文件被加载到内存中时，其布局会发生一些变化。与磁盘上的文件相比，内存中的 PE 结构更侧重于程序的运行时需求。

在内存中，PE 文件首先会被映射到一个特定的内存地址空间，这个地址通常由操作系统分配。DOS 头和 DOS 存根在内存中的作用和在磁盘上类似，仍然是为了兼容 DOS 系统，不过在实际运行中一般不会被直接访问。

PE 头在内存中的地位至关重要，它包含的信息被操作系统和加载器用于正确加载和运行程序。其中，OptionalHeader中的AddressOfEntryPoint字段指定了程序的入口点，即程序开始执行的内存地址。

节表在内存中用于指导加载器将各个节正确地映射到内存中。每个节在内存中都有自己独立的虚拟地址空间，并且根据节的属性（如可读、可写、可执行）进行相应的权限设置。例如，.text节通常被设置为可读和可执行，而.data节则被设置为可读和可写。

三、用 C 语言解析内存中的 PE 结构

下面我们通过一段 C 语言代码来解析内存中的 PE 结构，这段代码将获取当前进程的可执行文件在内存中的 PE 结构信息，并输出一些关键内容。

#include <stdio.h>
#include <windows.h>

// 获取当前进程的基地址
PVOID GetModuleBaseAddress() {
    return GetModuleHandle(NULL);
}

// 解析PE头
BOOL ParsePEHeader(PVOID baseAddress) {
    // DOS头
    PIMAGE_DOS_HEADER dosHeader = (PIMAGE_DOS_HEADER)baseAddress;
    if (dosHeader->e_magic != IMAGE_DOS_SIGNATURE) {
        printf("不是有效的PE文件（DOS头标识错误）\n");
        return FALSE;
    }

    // PE头
    PIMAGE_NT_HEADERS ntHeaders = (PIMAGE_NT_HEADERS)((DWORD_PTR)baseAddress + dosHeader->e_lfanew);
    if (ntHeaders->Signature != IMAGE_NT_SIGNATURE) {
        printf("不是有效的PE文件（PE头标识错误）\n");
        return FALSE;
    }

    // 输出PE文件的一些基本信息
    printf("PE文件标识: 0x%X\n", ntHeaders->Signature);
    printf("目标操作系统: %d\n", ntHeaders->FileHeader.Machine);
    printf("文件类型: %s\n", (ntHeaders->FileHeader.Characteristics & IMAGE_FILE_DLL)? "DLL" : "EXE");
    printf("入口点地址: 0x%X\n", ntHeaders->OptionalHeader.AddressOfEntryPoint);

    return TRUE;
}

int main() {
    PVOID moduleBase = GetModuleBaseAddress();
    if (!ParsePEHeader(moduleBase)) {
        return 1;
    }

    return 0;
}

代码说明

GetModuleBaseAddress函数：使用GetModuleHandle(NULL)获取当前进程的可执行文件在内存中的基地址。
ParsePEHeader函数：
- 首先检查 DOS 头的e_magic字段，确保文件是有效的 DOS 可执行文件。
- 然后根据 DOS 头中的e_lfanew字段找到 PE 头的位置，并检查 PE 头的Signature字段，确保文件是有效的 PE 文件。
- 最后，输出 PE 文件的一些关键信息，如文件标识、目标操作系统、文件类型和入口点地址。