MemoryModule阅读与PE文件解析（一）

参考链接

https://github.com/fancycode/MemoryModule

本文阅读github 上MemoryModule 代码的同时，介绍PE 文件相关的基础知识。

      该项目实现“手动加载DLL”即“实现了自己的LoadLibrary函数”，将DLL 加载到内存中，然后进行常规的DLL 操作。

第一步，通过调用LoadLibrary 函数加载DLL 并进行一些常规的DLL 操作
如得到函数地址并运行，还有得到DLL 资源等相关操作。

第二步，调用自己实现的LoadLibrary函数

      主函数读取并得到文件大小，然后调用MemoryLoadLibrary(data,size)函数，函数内部调用MemoryLoadLibraryEx函数，此函数为一个加载的核心函数。函数中会不断调用CheckSize函数判断文件大小是否正确，其原理就是，文件真实大小不能小于DLL 文件中所有结构的大小的综合，每次得到数据大小时，总会核对文件大小，我们不再一一介绍。

       图片来源：http://blog.csdn.net/liuyez123/article/details/51281905
       首先观察上面这张图片，了解PE 文件的整体结构，便于理解下面的介绍。

dos_header = (PIMAGE_DOS_HEADER)data;
    if (dos_header->e_magic != IMAGE_DOS_SIGNATURE)
// PE 文件刚开始为MS-DOS头，其结构体定义如下：
typedef struct_IMAGE_DOS_HEADER{     // DOS.EXE header
    WORD   e_magic;                    //魔术数字0x5A4D 表示‘MZ’
    WORD   e_cblp;                     //文件最后页的字节数
    WORD   e_cp;                       //文件页数
    WORD   e_crlc;                     //重定义元素个数
    WORD   e_cparhdr;                  //头部尺寸，以段落为单位
    WORD   e_minalloc;                 //所需的最小附加段
    WORD   e_maxalloc;                 //所需的最大附加段
    WORD   e_ss;                       //初始的 SS值（相对偏移量）
    WORD   e_sp;                       //初始的 SP值
    WORD   e_csum;                     //校验和
    WORD   e_ip;                       //初始的IP值
    WORD   e_cs;                       //初始的 CS值（相对偏移量）
    WORD   e_lfarlc;                    //重分配表文件地址
    WORD   e_ovno;                     //覆盖号
    WORD   e_res[4];                   //保留字
    WORD   e_oemid;                    //OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                  //OEM information; e_oemid specific
    WORD   e_res2[10];                 //保留字
    LONG   e_lfanew;                   //新 exe头部的文件地址(PE文件头部的定位,偏移量)
  } IMAGE_DOS_HEADER,*PIMAGE_DOS_HEADER;

      文件头刚开始的两个字节为“MZ”，还有许多其它的域对于MS-DOS操作系统来说都有用，对于Windows NT来说，最后一个域e_lfnew，一个4字节的文件偏移量，PE文件头部就是由它定位的。PE文件头部是紧跟在MS-DOS头部和实模式程序残余之后的。
       所谓是模式程序残余，指的是一个在装载时能够被MS-DOS运行的实际程序，对于一个MS-DOS 的可执行映像文件，应用程序从这里执行的。这部分数据包含了一些加密数据，标识编译这个PE 文件的组件。可用来检举某些病毒程序所编译的程序来自哪台机器。

old_header = (PIMAGE_NT_HEADERS)&((constunsignedchar *)(data))[dos_header->e_lfanew];
// 得到NT 头，所谓NT 头，由识别标识，文件头和可选头三部分组成的。
typedef struct _IMAGE_NT_HEADERS {
   DWORD Signature;
   IMAGE_FILE_HEADER FileHeader;
   IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

if (old_header->Signature != IMAGE_NT_SIGNATURE)
// #define IMAGE_NT_SIGNATURE                 0x00004550 // PE00
// 只有标识为IMAGE_NT_SIGNATURE标识的程序我们才进行处理，即普通的PE 文件。

if (old_header->FileHeader.Machine != HOST_MACHINE)
#define HOST_MACHINEIMAGE_FILE_MACHINE_I386

//首先我们来看文件头的结构：
typedef struct_IMAGE_FILE_HEADER{
    WORD    Machine; // 用来表示这个可执行文件被构建的目标机器种类，由此我们知道该程序支持X86 程序
    WORD    NumberOfSections;
    DWORD   TimeDateStamp;
    DWORD   PointerToSymbolTable;
    DWORD   NumberOfSymbols;
    WORD    SizeOfOptionalHeader;
    WORD    Characteristics;
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

成员	含义
NumberOfSections	段的数目
TimeDateStamp	文件日期时间戳，指这个文件生成的时间
PointerToSymbolTable	Coff 调试符号表的偏移地址
NumberOfSymbols	Coff 符号表中符号的个数，这个d域在realease 中为0
SizeOfOptionalHeader	可选头结构大小
Characteristics	表示了文件的一些特征。

      比如对于一个可执行文件而言，分离调试文件是如何操作的。调试器通常使用的方法是将调试信息从PE文件中分离，并保存到一个调试文件（.DBG）中。调试器需要了解是否要在一个单独的文件中寻找调试信息，以及这个文件是否已经将调试信息分离了。要使调试器不在文件中查找的话，就需要用到IMAGE_FILE_DEBUG_STRIPPED这个特征，它表示文件的调试信息是否已经被分离了。调试器可以通过快速查看PE文件的头部的方法来决定文件中是否存在着调试信息。

标志	值	含义
IMAGE_FILE_RELOCS_STRIPPED	0x0001	文件中不存在重定位信息
IMAGE_FILE_EXECUTABLE_IMAGE	0x0002	文件是可执行的
IMAGE_FILE_LINE_NUMS_STRIPPED	0x0004	不存在行信息
IMAGE_FILE_LOCAL_SYMS_STRIPPED	0x0008	不存在符号信息
IMAGE_FILE_AGGRESIVE_WS_TRIM	0x0010
IMAGE_FILE_LARGE_ADDRESS_AWARE	0x0020	可访问大于2GB 的地址
IMAGE_FILE_BYTES_REVERSED_LO	0x0080	小尾方式
IMAGE_FILE_32BIT_MACHINE	0x0100	只在32位平台运行
IMAGE_FILE_DEBUG_STRIPPED	0x0200	不包含调试信息
IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP	0x0400	不能从可移动盘运行
IMAGE_FILE_NET_RUN_FROM_SWAP	0x0800	不能从网络运行
IMAGE_FILE_SYSTEM	0x1000	系统文件不能直接运行
IMAGE_FILE_DLL	0x2000	DLL文件
IMAGE_FILE_UP_SYSTEM_ONLY	0x4000	不能在多处理器上运行
IMAGE_FILE_BYTES_REVERSED_HI	0x8000	大尾方式

      由此我们可以理解，此程序只处理Win32 DLL。

if (old_header->OptionalHeader.SectionAlignment& 1)

      首先我们来看可选头的结构体定义：

typedef struct _IMAGE_OPTIONAL_HEADER {
   //
   // Standard fields.
   //

   WORD    Magic;
   BYTE   MajorLinkerVersion;
   BYTE   MinorLinkerVersion;
   DWORD   SizeOfCode;
   DWORD   SizeOfInitializedData;
   DWORD  SizeOfUninitializedData;
   DWORD  AddressOfEntryPoint;
   DWORD   BaseOfCode;
   DWORD   BaseOfData;

   //
   // NT additional fields.
   //

   DWORD   ImageBase;
   DWORD  SectionAlignment;
   DWORD   FileAlignment;
   WORD   MajorOperatingSystemVersion;
   WORD   MinorOperatingSystemVersion;
   WORD   MajorImageVersion;
   WORD   MinorImageVersion;
   WORD   MajorSubsystemVersion;
   WORD   MinorSubsystemVersion;
   DWORD  Win32VersionValue;
   DWORD   SizeOfImage;
   DWORD   SizeOfHeaders;
   DWORD   CheckSum;
   WORD    Subsystem;
   WORD   DllCharacteristics;
   DWORD  SizeOfStackReserve;
   DWORD  SizeOfStackCommit;
   DWORD  SizeOfHeapReserve;
   DWORD  SizeOfHeapCommit;
   DWORD   LoaderFlags;
   DWORD  NumberOfRvaAndSizes;
   IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

标准域

      所谓标准域，就是和UNIX可执行文件的COFF格式所公共的部分。虽然标准域保留了COFF中定义的名字，但是Windows NT仍然将它们用作了不同的目的。

成员	含义
AddressOfEntryPoint	这个域表示应用程序入口点的位置
BaseOfCode	已载入映像的代码（“.text”段）的相对偏移量
BaseOfData	已载入映像的未初始化数据（“.bss”段）的相对偏移量
Windows NT附加域	为Windows NT特定的进程行为提供了装载器的支持
ImageBase	进程映像地址空间中的首选基地址。Windows NT的Microsoft Win32 SDK链接器将这个值默认设为0x00400000，但是你可以使用-BASE:linker开关改变这个值
SectionAlignment	Windows NT虚拟内存管理器规定，段对齐不能少于页尺寸（当前的x86平台是4096字节），并且必须是成倍的页尺寸。4096字节是x86链接器的默认值，但是它可以通过-ALIGN: linker开关来设置
FileAlignment	2.39版链接器将映像文件以0x200字节的边界对齐，这个值可以被强制改为512到65535这么多
SizeOfImage	链接器首先决定每个段需要多少字节，并且最后将页面总数向上取整至最接近的
SectionAlignment	边界，然后总数就是每个段个别需求之和了
SizeOfHeaders	这个域表示文件中有多少空间用来保存所有的文件头部，包括MS-DOS头部、PE文件头部、PE可选头部以及PE段头部。文件中所有的段实体就开始于这个位置
CheckSum	用来在装载时验证可执行文件的，它是由链接器设置并检验的。由于创建这些校验和的算法是私有信息，所以在此不进行讨论
Subsystem	每个可能的子系统取值列于WINNT.H的IMAGE_OPTIONAL_HEADER结构之后。
DllCharacteristics	用来表示一个DLL映像是否为进程和线程的初始化及终止包含入口点的标记
SizeOfStackReserve、SizeOfStackCommit、SizeOfHeapReserve、SizeOfHeapCommit	这些域控制要保留的地址空间数量，并且负责栈和默认堆的申请。在默认情况下，栈和堆都拥有1个页面的申请值以及16个页面的保留值。这些值可以使用链接器开关-STACKSIZE:与-HEAPSIZE:来设置
LoaderFlags	告知装载器是否在装载时中止和调试，或者默认地正常运行
NumberOfRvaAndSizes	标识了接下来的DataDirectory数组。请注意它被用来标识这个数组，而不是数组中的各个入口数字，这一点非常重要
DataDirectory	数据目录表示文件中其它可执行信息重要组成部分的位置。它事实上就是一个IMAGE_DATA_DIRECTORY结构的数组，位于可选头部结构的末尾。当前的PE文件格式定义了16种可能的数据目录，这之中的11种现在在使用中

数据目录	含义
IMAGE_DIRECTORY_ENTRY_EXPORT	导出目录
IMAGE_DIRECTORY_ENTRY_IMPORT	导入目录
IMAGE_DIRECTORY_ENTRY_RESOURCE	资源目录
IMAGE_DIRECTORY_ENTRY_EXCEPTION	异常目录
IMAGE_DIRECTORY_ENTRY_SECURITY	安全目录
IMAGE_DIRECTORY_ENTRY_BASERELOC	重定位基本表
IMAGE_DIRECTORY_ENTRY_DEBUG	调试目录
IMAGE_DIRECTORY_ENTRY_COPYRIGHT	描述字串
IMAGE_DIRECTORY_ENTRY_GLOBALPTR	机器值（MIPS GP）
IMAGE_DIRECTORY_ENTRY_TLS	TLS目录
IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG	载入配置目录

typedef struct_IMAGE_DATA_DIRECTORY {
  ULONG VirtualAddress;             
  ULONG Size;
}IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

      每个数据目录入口指定了该目录的尺寸和相对虚拟地址。如果你要定义一个特定的目录的话，就需要从可选头部中的数据目录数组中决定相对的地址，然后使用虚拟地址来决定该目录位于哪个段中。一旦你决定了哪个段包含了该目录，该段的段头部就会被用于查找数据目录的精确文件偏移量位置。

      这里我们看到，程序只处理文件对齐粒度为2 的倍数的DLL，一般程序的默认对齐粒度为0x200,这里的这一步判断可能是作者遇到过特殊情况吧。

section = IMAGE_FIRST_SECTION(old_header);
#define IMAGE_FIRST_SECTION( ntheader ) ((PIMAGE_SECTION_HEADER)        \
   ((ULONG_PTR)(ntheader) +                                            \
     FIELD_OFFSET( IMAGE_NT_HEADERS, OptionalHeader ) +                 \
    ((ntheader))->FileHeader.SizeOfOptionalHeader   \
))

      为了理解这个宏，我们来看这个图，重复一下这个图，省得老跳转了。根据上面的结构体的定义我们可以看到，文件头中有一个成员SizeOfOptionalHeader 包含了可选头大小，而可选头之后就是段头部（图中叫节表）。因此第一个段头部的地址=NT头 + 可选头在NT头中的偏移+可选头的大小。

      其中段头部的定义如下

#define IMAGE_SIZEOF_SHORT_NAME              8
typedef struct _IMAGE_SECTION_HEADER {
   BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];
   union {
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;
   } Misc;
   DWORD   VirtualAddress;
   DWORD   SizeOfRawData;
   DWORD  PointerToRawData;
   DWORD  PointerToRelocations;
   DWORD  PointerToLinenumbers;
   WORD   NumberOfRelocations;
   WORD   NumberOfLinenumbers;
   DWORD   Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

成员	含义
Name	每个段都有一个8字符长的名称域，并且第一个字符必须是一个句点
VirtualSize	实际的，被使用的区块的大小。VirtualSize 大于SizeOfRawData 则SizeOfRawData 表示来自于可执行文件初始化数据的大小与VirtualSize 相差的字节用0 填充。这个字段在OBJ文件中设为0.
VirtualAddress	该块装载到内存中的RVA,按照内存页对齐的。
SizeOfRawData	该块在磁盘文件中所占的大小，数值等于VirtualSize按照FileAlignment对齐后的大小
PointerToRawData	一个文件中段实体位置的偏移量
Characteristics	段属性值

属性值	含义
0x00000020	代码段
0x00000040	已初始化数据段
0x00000080	未初始化数据段
0x04000000	该段数据不能被缓存
0x08000000	该段不能被分页
0x10000000	共享段
0x20000000	可执行段
0x40000000	可读段
0x80000000	可写段

optionalSectionSize =old_header->OptionalHeader.SectionAlignment;
   for (i=0; i<old_header->FileHeader.NumberOfSections;i++, section++) {
       size_t endOfSection;
       if (section->SizeOfRawData == 0) {
            // Section without data in the DLL
   // 对于没有初始化的数据的section，我们默认使用的一个页面的大小
            endOfSection =section->VirtualAddress + optionalSectionSize;
       } else {
            endOfSection =section->VirtualAddress + section->SizeOfRawData;
       }

       if (endOfSection > lastSectionEnd) {
           lastSectionEnd =endOfSection;
       }
   }

   GetNativeSystemInfo(&sysInfo);
   alignedImageSize =AlignValueUp(old_header->OptionalHeader.SizeOfImage, sysInfo.dwPageSize);
   if (alignedImageSize != AlignValueUp(lastSectionEnd,sysInfo.dwPageSize)) {
       SetLastError(ERROR_BAD_EXE_FORMAT);
       return NULL;
}

       上面我们看到，ImageSize 的定义是：链接器首先决定每个段需要多少字节，并且最后将页面总数向上取整至最接近的SectionAlignment边界，然后总数就是每个段个别需求之和了。而这里的for循环遍历所有的段，找到最大的lastSectionEnd，即文件最后的段的最后的地址，这里的虚拟地址，代表的是文件被加载进内存之后相对于imagebase 的相对地址，即已经对于内存物理页面对齐之后的相对虚拟地址，加上这个段的相对大小，就是其加载进内存之后最后的虚拟地址，即有效访问的最后的相对虚拟地址，lastSectionEnd 对 页面大小向上取整是应该等于ImageSize对页面大小向上取整的，或者说，应该等于ImageSize ，因为ImageSize已经做过了向上取整的操作。核对了这个大小之后继续操作
然后这里有一个拷贝段的操作CopySections，我们等到后面的一个文章中与另一个点一起介绍。

locationDelta = (ptrdiff_t)(result->headers->OptionalHeader.ImageBase- old_header->OptionalHeader.ImageBase);
if (locationDelta != 0) {
       result->isRelocated = PerformBaseRelocation(result, locationDelta);
} else {
       result->isRelocated = TRUE;
}

       这里首先计算得到当前实际加载的DLL基地址与一个原先假定的DLL 加载基地址只差。然后判断如果两个地址相同，直接跳过，否则进行重定向表的修订操作。
所谓重定向表：
       简单来说，因为DLL 中的代码需要引用一些DLL 内部的内存地址，但是生成DLL 文件的时候，无法保证将来DLL 被加载到目标进程的什么内存地址，于是，DLL 中假定了一个加载地址即ImageBase,其所有的对于DLL内部地址空间的引用都是相对于这个ImageBase的，为了将来能够修正这些内存地址并缩小文件大小，重定向表中以页面大小【4KB】为单位将文件分为一个个块来存储重定向信息：

typedef struct _IMAGE_BASE_RELOCATION {
   DWORD   VirtualAddress;
   DWORD   SizeOfBlock;
// WORD    TypeOffset[1];
} IMAGE_BASE_RELOCATION;

       VirtualAddress字段是当前页面起始地址的RVA值，本块中所有重定位项中的12位地址加上这个起始地址后就得到了真正的RVA值。SizeOfBlock字段定义的是当前重定位块的大小，从这个字段的值可以算出块中重定位项的数量，由于SizeOfBlock＝4＋4＋2×n，也就是sizeof IMAGE_BASE_RELOCATION＋2×n，所以重定位项的数量n就等于(SizeOfBlock－sizeof IMAGE_BASE_RELOCATION)÷2。
IMAGE_BASE_RELOCATION结构后面跟着的n个字就是重定位项，每个重定位项的16位数据位中的低12位就是需要重定位的数据在页面中的地址，剩下的高4位也没有被浪费，它们被用来描述当前重定位项的种类。

       虽然高4位定义了多种重定位项的属性，但实际上在PE文件中只能看到0和3这两种情况。
所有的重定位块最终以一个VirtualAddress字段为0的IMAGE_BASE_RELOCATION结束。
参考：http://www.blogfshare.com/pe-relocate.html
       重定项的修正：

PerformBaseRelocation(PMEMORYMODULEmodule,ptrdiff_tdelta)
{
   unsigned char *codeBase = module->codeBase;
   PIMAGE_BASE_RELOCATION relocation;

   PIMAGE_DATA_DIRECTORY directory =GET_HEADER_DICTIONARY(module,IMAGE_DIRECTORY_ENTRY_BASERELOC);
   if (directory->Size == 0) {
       return (delta == 0);
   }

   relocation = (PIMAGE_BASE_RELOCATION) (codeBase + directory->VirtualAddress);
   for (; relocation->VirtualAddress > 0; ) {
       DWORD i;
       unsigned char *dest = codeBase + relocation->VirtualAddress;
       unsigned short *relInfo = (unsigned short*) OffsetPointer(relocation, IMAGE_SIZEOF_BASE_RELOCATION);
       for (i=0; i<((relocation->SizeOfBlock-IMAGE_SIZEOF_BASE_RELOCATION) / 2); i++, relInfo++) {
            // the upper 4 bits define the type of relocation
            int type = *relInfo>> 12;
            // the lower 12 bits define the offset
            int offset = *relInfo& 0xfff;

            switch (type)
            {
            case IMAGE_REL_BASED_ABSOLUTE:
                // skip relocation
                break;

            case IMAGE_REL_BASED_HIGHLOW:
                // change complete 32 bit address
                {
                    DWORD *patchAddrHL = (DWORD *) (dest + offset);
                    *patchAddrHL += (DWORD)delta;
                }
               break;

#ifdef _WIN64
            caseIMAGE_REL_BASED_DIR64:
                {
                    ULONGLONG *patchAddr64 =(ULONGLONG *) (dest + offset);
                    *patchAddr64 += (ULONGLONG)delta;
                }
                break;
#endif

            default:
                //printf("Unknown relocation: %d\n", type);
                break;
            }
       }

       // advance to next relocation block
       relocation = (PIMAGE_BASE_RELOCATION) OffsetPointer(relocation, relocation->SizeOfBlock);
   }
   return TRUE;
}

       修正DLL 中的重定项之后，程序扫描并构建DLL 的导入表。
       请看下回分解