逆向工程核心原理第十三章 PE文件格式

最新推荐文章于 2022-09-25 09:25:00 发布

王嘟嘟_

最新推荐文章于 2022-09-25 09:25:00 发布

阅读量555

点赞数 1

本文为博主原创文章，未经博主允许不得转载，未授权转载为侵权行为，违反法律。

本文链接：https://blog.csdn.net/qq_36869808/article/details/89846650

版权

0x00 前言

在没有接触壳之前，也不着急着做什么练习，PE文件格式还是要学一学的。

0x01 正文

1.VA&RVA

VA：进程虚拟内存的绝对地址
RVA：相对虚拟地址。从某个基准位置（ImageBase）开始的相对地址

公式：RVA+ImageBase=VA

PS:
32位Windows中，进程分配有4GB虚拟内存，因此进程中的VA范围是00000000~FFFFFFFF

2.PE头

2.1 DOS头

IMAGE_DOS_HEADER

在微软创建PE文件格式的时候，正在广泛使用DOS文件，所以考虑到对DOS文件的兼容性，于是在PE头的最前面添加了一个IMAGE_DOS_HEADER结构体，用来扩展已有的DOS EXE头。

IMAGE_DOS_HEADER结构体大小为40个字节。

python中有一个专门用来解析PE的库。
在这里插入图片描述
其中最为重要的有两个

一个是magic还有一个是Ifanew

magic：DOS签名，默认值MZ
在这里插入图片描述
ifanew：指示NT头的偏移，简单的说就是指向NT头所在的位置。

2.2 DOS存根

DOS存根在DOS头下放，是一个可选项，且大小不固定。

直白的说就是为了兼容DOS环境下运行。

2.3 NT头

IMAGE_NT_HEADERS里有三个成员变量

signature签名值为PE
在这里插入图片描述

2.3.1 NT头文件头

IMAGE_FILE_HEADERS结果题有四个重要成员。
在这里插入图片描述
Machine
唯一Machine码，兼容32位Intel x86芯片的Machine码为14C。

NumberOfSections
NumberOfSections用来支出文件中存在的节区数量，该数值一定要大于0。如果和实际节数不同则运行出错

SizeOfOptionalHeader
用来指出IMAGE_OPTIONAL_HEADER3结构体的长度。
Characteristics
该字段用于表示文件的属性，文件是否是可运行状态，是否为DLL，文件等信息。
0002h，不可执行。

2.3.2 NT头：可选头

IMAGE_OPTIONAL_HEADER
重要字典
Magic：
32位为Magic码为10B
64位为20B
AddressOfEntryPoint：
AddressOfEntryPoint持有PE的RVA值。指出程序最先执行的代码起始地址。
在这里插入图片描述
程序的相对起始位置。
使用OD进行查看

ImageBase：
进程虚拟内存的范围是0~FFFFFFFF。
EXE，DLL文件被装载到用户内存的0_{7FFFFFFF中，SYS文件被载入内和内存的80000000}FFFFFFFF。
VB/VC++?Delphi 创建好EXE文件后，ImageBase的值为00400000。DLL为1000000
PE装载器先创建进程，再将文件载入内存，然后把EIP寄存器的值设置为ImageBase+AddressOfEntryPoint
SectionAlignment,FileAlignment:
PE文件的Body部分划分为若干节区，这些节存储着不同类别的数据。FileAlignment指定了截取在磁盘文件中的最小单位，SectionAlignment制定了截取中的最小单位。
自盘文件或内存的截取大小必定为FileAligment或SectionAlignment值的整数倍
SizeOfImage：
加载PE文件到内存时，SizeOfImage指定了PE Image在虚拟内存中所占空间的大小。一般而言，文件的大小与加载到内存中的大小是不同的。
SizeOfHeader：
SizeOfHeader用来指出整个PE头的大小。值是FileAlignment的整数倍，第一节区所在位置与SizeOfHeader距文件开始偏移的量相同。
Subsystem：
区分系统驱动文件语普通的可执行文件。
DataDorectory：
由IMAGE_DATA_DIRECTORY结构体组成的数组。