PE文件结构小结

最新推荐文章于 2023-06-09 23:00:19 发布
最新推荐文章于 2023-06-09 23:00:19 发布
阅读量656 收藏 2
点赞数
分类专栏： PE文件 文章标签： windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42814021/article/details/121541675
版权

此篇文章简单记录一下PE文件结构，作为笔记，方便平时查阅！
部分数据目录未总结，后面学习用到时会补充！

文章目录


PE文件结构图：
在这里插入图片描述
在这里插入图片描述

DOS头

Dos头一共64（0x40）个字节

typedef struct _IMAGE_DOS_HEADER
{
    WORD   e_magic;       // DOS头的标识  "MZ"  4Dh  5Ah（2个字节）      #define IMAGE_DOS_SIGNATURE  0x5A4D
    WORD   e_cblp;        // 文件最后一页中的字节数
    WORD   e_cp;          // 文件中的全部页数
    WORD   e_crlc;        // 重定位表中的指针数
    WORD   e_cparhdr;     // 头部尺寸，以段落为单位
    WORD   e_minalloc;    // 所需的最小附加段  
    WORD   e_maxalloc;    // 所需的最大附加段  
    WORD   e_ss;          // 初始的SS值（相对偏移量）
    WORD   e_sp;          // 初始的SP值
    WORD   e_csum;        // 补码校验值
    WORD   e_ip;          // 初始的IP值   
    WORD   e_cs;          // 初始的CS值
    WORD   e_lfarlc;      // 重定位表的字节偏移量 
    WORD   e_ovno;        // 覆盖号
    WORD   e_res[4];      // 保留字
    WORD   e_oemid;       // OEM 标识符（相对e_oeminfo） 
    WORD   e_oeminfo;     // OEM 信息
    WORD   e_res2[10];    // 保留字
    // DosHeader + 0x3C 正好定位到e_lfanew
    LONG    e_lfanew;     // NT头相对于文件起始地址的偏移, 4字节, 指示NT头的位置
} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

DOS头下方紧跟着的并不是NT头，而是一段Stub，它随着链接器的不同而不同，大小不确定。
因此不能通过IMAGE_DOS_HEADER + 0x40来定位NT头，而应该是IMAGE_DOS_HEADER + IMAGE_DOS_HEADER->e_lfanew。

NT头

NT头在32位和64位下大小不同，主要在于可选头的不同。
32位：4 + 20（0x14） + 224（0xE0）= 248（0xF8）字节
64位：4 + 20（0x14） + 240（0xF0）= 264（0x108）字节

typedef struct _IMAGE_NT_HEADERS
{
    DWORD Signature;                         //标志位："PE\0\0"  50 45 00 00（4字节）  #define IMAGE_NT_SIGNATURE  0x00004550
    IMAGE_FILE_HEADER FileHeader;            //PE文件头（PE标准头）
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;  //PE可选头（PE扩展头）
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

typedef struct _IMAGE_NT_HEADERS64
{
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER64 OptionalHeader;
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;

文件头

文件头一共20（0x14）个字节

typedef struct _IMAGE_FILE_HEADER
{
    WORD Machine;                //PE文件运行的平台，值为IMAGE_FILE_MACHINE_I386(0x14c)表示是x86处理器，
                                 //IMAGE_FILE_MACHINE_AMD64(0x8664)或IMAGE_FILE_MACHINE_IA64(0x200)表示是x64处理器。
    WORD NumberOfSections;       //文件中存在的节的个数，如果想在PE文件中增加或删除节，必须变更此处的值
    DWORD TimeDateStamp;         //创建此文件时的时间戳
    DWORD PointerToSymbolTable;  //COFF符号表的文件偏移，对于映像文件来说，此值为0
    DWORD NumberOfSymbols;       //符号表中元素的数目，对于映像文件来说，此值为0
    WORD SizeOfOptionalHeader;   //可选头的大小，32位下默认为00E0h，64位下默认为00F0h
    WORD Characteristics;        //文件属性标志，exe一般是010fh，dll一般是210eh
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

在这里插入图片描述

判断一个文件是不是PE文件

ImageDosHeader = (PIMAGE_DOS_HEADER)FileContent;
if (ImageDosHeader->e_magic != IMAGE_DOS_SIGNATURE)
{
    return FALSE;
}
ImageNtHeaders = (PIMAGE_NT_HEADERS)(FileContent + ImageDosHeader->e_lfanew);
if (ImageNtHeaders->Signature != IMAGE_NT_SIGNATURE)
{
    return FALSE;
}
return TRUE;

判断一个PE文件是不是dll

DWORD Flag = IMAGE_FILE_DLL;
if ((Flag & ImageNtHeaders->FileHeader.Characteristics) == Flag)
{
    return TRUE;
}

判断一个PE文件是不是exe

DWORD Flag = IMAGE_FILE_EXECUTABLE_IMAGE;
if (!IsDll() &&
    !IsSys() &&
    (Flag & ImageNtHeaders->FileHeader.Characteristics) == Flag)
{
    return TRUE;
}

判断一个PE文件是32位还是64位（方法1，2）

方法一：

if (ImageNtHeaders->FileHeader.SizeOfOptionalHeader == 0xF0)
{
    Is64PeFile = TRUE;
}
else
{
    Is64PeFile = FALSE;
}

方法二：

if (ImageNtHeaders->FileHeader.Machine == IMAGE_FILE_MACHINE_I386)
{
    Is64PeFile = TRUE;
}
if (ImageNtHeaders->FileHeader.Machine == IMAGE_FILE_MACHINE_AMD64 || ImageNtHeaders->FileHeader.Machine == IMAGE_FILE_MACHINE_IA64)
{
    Is64PeFile = FALSE;
}

可选头

32位下： 96（0x60）+ 128（0x80）= 224字节（0xE0）
64位下：112（0x70）+ 128（0x80）= 240字节（0xF0）

64位和32位的区别：

  • 64位没有成员BaseOfData；
  • 64位的ImageBase、SizeOfStackReserve、SizeOfStackCommit、SizeOfHeapReserve、SizeOfHeapCommit是ULONGLONG类型，为了适应增大的进程虚拟内存。
typedef struct _IMAGE_OPTIONAL_HEADER 
{
#define IMAGE_NT_OPTIONAL_HDR32_MAGIC      0x10b
#define IMAGE_NT_OPTIONAL_HDR64_MAGIC      0x20b
    WORD    Magic;                      //文件的类型。0x10b 表示文件为PE32，0x107表示文件为ROM映像，0x20b 表示PE64    
    BYTE    MajorLinkerVersion;         //链接器的主版本号  
    BYTE    MinorLinkerVersion;         //链接器的次版本号
    DWORD   SizeOfCode;                 //所有代码节长度的总和，该大小是基于文件对齐的。
    DWORD   SizeOfInitializedData;      //所有包含初始化数据的节的总长度
    DWORD   SizeOfUninitializedData;    //所有包含未初始化数据的节的总长度。这些数据在文件中不占用空间，但在被加载到内存以后，PE加载程序应该为这些数据分配适当大小的虚拟地址空间
    DWORD   AddressOfEntryPoint;        //程序执行入口的RVA，对于exe这个地址可以理解为WinMain的RVA
    DWORD   BaseOfCode;                 //代码节起始地址的RVA，表示映像被加载进内存时代码节的开头相对于映像基址的偏移地址。一般情况下，代码节紧跟在PE头部后面
    DWORD   BaseOfData;                  //数据节起始地址的RVA。一般情况下，数据节位于文件末尾，64位没有这个成员
    DWORD   ImageBase;                   //文件被系统装入内存后的默认基地址(建议程序装载地址)。链接器默认exe的装入地址是0x400000，dll的是0x10000000。如果一个进程用到了多个Dll，其装入地址可能会发生冲突，PE加载器会调整其中的地址，使所有的dll文件都能被正确装入。
    DWORD   SectionAlignment;            //内存中节的对齐粒度，32位下为0x1000
    DWORD   FileAlignment;               //文件中节的对齐粒度(对齐是为了提高文件从磁盘加载的效率)，32位下为0x200，SectionAlignment必须大于或等于FileAlignment 
    WORD    MajorOperatingSystemVersion; //操作系统的版本号  
    WORD    MinorOperatingSystemVersion;
    WORD    MajorImageVersion;           //映象的版本号  
    WORD    MinorImageVersion;
    WORD    MajorSubsystemVersion;       //所需子系统版本号  
    WORD    MinorSubsystemVersion;
    DWORD   Win32VersionValue;           //保留，必须为0  
    DWORD   SizeOfImage;                 //内存中整个PE文件的映射大小，PE文件加载到内存中空间是连续的，这个值指定占用虚拟空间的大小  
    DWORD   SizeOfHeaders;               //所有头+节表按照文件对齐粒度对齐后的大小
    DWORD   CheckSum;                    //校验和  
    WORD    Subsystem;                   //运行该PE文件所需的子系统，指示是一个控制台程序(IMAGE_SUBSYSTEM_WINDOWS_CUI)还是图形界面程序(IMAGE_SUBSYSTEM_WINDOWS_GUI)
    WORD    DllCharacteristics;          //DLL文件属性
    DWORD   SizeOfStackReserve;          //初始化时保留的栈大小，默认为0x100000（1MB）
    DWORD   SizeOfStackCommit;           //初始化时实际提交的栈大小
    DWORD   SizeOfHeapReserve;           //初始化时保留的堆大小，默认为0x100000（1MB）
    DWORD   SizeOfHeapCommit;            //初始化时实际提交的堆大小，默认为1页（0x1000）
    DWORD   LoaderFlags;                 //保留，必须为0  
    DWORD   NumberOfRvaAndSizes;         //数据目录结构的数量，即下面这个数组的项数，一般为16个
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];   // 数据目录
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

typedef struct _IMAGE_OPTIONAL_HEADER64
{
    WORD  Magic;
    BYTE  MajorLinkerVersion;
    BYTE  MinorLinkerVersion;
    DWORD SizeOfCode;
    DWORD SizeOfInitializedData;
    DWORD SizeOfUninitializedData;
    DWORD AddressOfEntryPoint;
    DWORD BaseOfCode;
    ULONGLONG ImageBase;
    DWORD SectionAlignment;
    DWORD FileAlignment;
    WORD  MajorOperatingSystemVersion;
    WORD  MinorOperatingSystemVersion;
    WORD  MajorImageVersion;
    WORD  MinorImageVersion;
    WORD  MajorSubsystemVersion;
    WORD  MinorSubsystemVersion;
    DWORD Win32VersionValue;
    DWORD SizeOfImage;
    DWORD SizeOfHeaders;
    DWORD CheckSum;
    WORD  Subsystem;
    WORD  DllCharacteristics;
    ULONGLONG SizeOfStackReserve;
    ULONGLONG SizeOfStackCommit;
    ULONGLONG SizeOfHeapReserve;
    ULONGLONG SizeOfHeapCommit;
    DWORD LoaderFlags;
    DWORD NumberOfRvaAndSizes;
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER64, *PIMAGE_OPTIONAL_HEADER64;

判断一个PE文件是32位还是64位（方法3）

if (ImageNtHeaders->OptionalHeader.magic == IMAGE_NT_OPTIONAL_HDR64_MAGIC)
{
    Is64PeFile = TRUE;
}
else
{
    Is64PeFile = FALSE;
}

数据目录

IMAGE_OPTIONAL_HEADER->DataDirectory
是一个结构体数组，共有16个成员，由16个IMAGE_DATA_DIRECTORY排列而成。

typedef struct _IMAGE_DATA_DIRECTORY 
{
    DWORD VirtualAddress;     //数据块的起始RVA  
    DWORD Size;               //数据块的长度  
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES 		 16
#define IMAGE_DIRECTORY_ENTRY_EXPORT              0   // 导出表(.edata),指向一个IMAGE_EXPORT_DIRECTORY结构
#define IMAGE_DIRECTORY_ENTRY_IMPORT              1   // 导入表(.idata),指向一个IMAGE_IMPORT_DESCRIPTOR结构数组
#define IMAGE_DIRECTORY_ENTRY_RESOURCE            2   // 资源表(.rsrc),指向一个IMAGE_RESOURCE_DIRECTORY结构
#define IMAGE_DIRECTORY_ENTRY_EXCEPTION           3   // 异常表(.pdata),指向一个IMAGE_RUNTIME_FUNCTION_ENTRY结构数组，CPU特定的并且基于表的异常处理，用于除x86之外的其它CPU上
#define IMAGE_DIRECTORY_ENTRY_SECURITY            4   // 安全表,指向一个WIN_CERTIFICATE结构的列表，它定义在WinTrust.h中，不会被映射到内存中。因此VirtualAddress域是一个文件偏移，而不是一个RVA
#define IMAGE_DIRECTORY_ENTRY_BASERELOC           5   // 重定位表(.reloc),指向基址重定位信息
#define IMAGE_DIRECTORY_ENTRY_DEBUG               6   // 调试信息表(.debug),指向一个IMAGE_DEBUG_DIRECTORY结构数组，其中每个结构描述了映像的一些调试信息
// #define IMAGE_DIRECTORY_ENTRY_COPYRIGHT        7   // (X86 usage) 
#define IMAGE_DIRECTORY_ENTRY_ARCHITECTURE        7   // 版权信息表,指向一个IMAGE_ARCHITECTURE_HEADER结构数组
#define IMAGE_DIRECTORY_ENTRY_GLOBALPTR           8   // 全局指针表
#define IMAGE_DIRECTORY_ENTRY_TLS                 9   // TLS 线程局部存储(.tls),指向线程局部存储初始化节
#define IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG        10   // 配置加载表,指向一个IMAGE_LOAD_CONFIG_DIRECTORY结构
#define IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT       11   // 绑定导入表,指向一个IMAGE_BOUND_IMPORT_DESCRIPTOR结构数组，每一个结构对应一个DLL。数组元素中的时间戳允许加载器快速判断绑定是否是新的，如果不是则加载器忽略绑定信息并且按正常方式解决导入API
#define IMAGE_DIRECTORY_ENTRY_IAT                12   // 导入函数地址表,指向第一个导入地址表(IAT)的起始位置，对应于每个被导入DLL的IAT都连续地排列在内存中,Size域指出了所有IAT的总大小。
#define IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT       13   // 延迟加载导入表
#define IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR     14   // COM Runtime descriptor

导出表

导出表描述的是该PE文件向其他程序提供的可供调用函数的情况。
只有一个IMAGE_EXPORT_DESCRIPTOR。

typedef struct _IMAGE_EXPORT_DIRECTORY
{
    DWORD   Characteristics;
    DWORD   TimeDateStamp;          //导出表创建的时间
    WORD    MajorVersion;           //导出表的版本号
    WORD    MinorVersion;
    DWORD   Name;                   //指向该导出表的文件名称字符串
    DWORD   Base;                   //导出函数地址表中第一个地址所对应函数的编号。
    DWORD   NumberOfFunctions;      //所有导出函数的个数
    DWORD   NumberOfNames;          //通过名称导出的函数的个数
    DWORD   AddressOfFunctions;     //指向导出函数地址表，存放所有导出函数所在地址的RVA值，大小为NumberOfFunctions
    DWORD   AddressOfNames;         //指向函数名称地址表，存放导出函数名称字符串所在地址的RVA值，大小为NumberOfNames
    DWORD   AddressOfNameOrdinals;  //指向函数名称索引表的RVA，存放名称导出函数的导出索引，它的值是对应函数在AddressOfFunctions中的数组下标，大小为NumberOfNames
}IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

三个数组

在这里插入图片描述

根据函数名称获得函数地址

FunctionAddress = DllBase + AddressOfFunctions[AddressOfNameOrdinals[i]]; //i为遍历AddressOfNames数组得到的数组下标

导入表

导入表描述的是该PE文件中的程序调用了其他动态链接库函数的情况。
是一个IMAGE_IMPORT_DESCRIPTOR数组。
操作系统在加载PE文件时，会将其导入表里的所有DLL一起加载，并根据DLL导出表中对导入函数的描述修正IAT的值。

typedef struct _IMAGE_IMPORT_DESCRIPTOR
{
    union {
        DWORD Characteristics;
        DWORD OriginalFirstThunk;   //桥1，指向导入名称表(INT)，INT是一个IMAGE_THUNK_DATA结构的数组，每个IMAGE_THUNK_DATA结构指向IMAGE_IMPORT_BY_NAME结构，最后一个IMAGE_THUNK_DATA的内容为0。
        // OriginalFirstThunk：双字最高位为0表示导入符号是一个数值，该数值是一个RVA；双字最高位为1，表示导入符号是一个名称
    };
    DWORD TimeDateStamp;    //时间戳，一般为0；如果该导入表项被绑定，那么绑定后的这个时间戳就是被设置为对应DLL文件的时间戳。操作系统在加载时，可以通过这个时间戳来判断绑定的信息是否过时。
    DWORD ForwarderChain;   //链表的前一个结构
    DWORD Name;             //指向该结构对应的DLL文件的名称，以“\0”结尾的Anisi字符串
    DWORD FirstThunk;       //桥2，指向导入函数地址表(IAT)的RVA，IAT是一个IMAGE_THUNK_DATA结构的数组，它定义了针对Name这个动态链接库导入的所有导入函数。
}IMAGE_IMPORT_DESCRIPTOR, *PIMAGE_IMPORT_DESCRIPTOR;

双桥结构

桥1和桥2本来是通向一个目的地，导入函数的“索引-名称”(Hint/Name)描述部分。

typedef struct _IMAGE_IMPORT_BY_NAME 
{
    USHORT Hint;
	UCHAR Name[1];
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

在这里插入图片描述
当PE文件被加载到内存后，IAT的内容会被修改成函数的VA，这个修改会导致桥2发生断裂。
在内存中，
桥1可以让你找到调用函数的名称和索引；
桥2可以让你找到调用函数在内存空间的地址。
在这里插入图片描述

判断一个PE文件是不是sys

看它的导入表中有没有ntoskrnl.exe、hal.dll、ndis.sys、bootvid.dll、kdcom.dll。

while (ImageImportDescriptor->Characteristics != 0)
{
    PCHAR Name = (char*)((ULONG_PTR)FileImageBase + RvaToFoa(ImageNtHeaders, ImageImportDescriptor->Name));
    PCHAR ModuleName[5] = { "ntoskrnl.exe", "hal.dll", "ndis.sys", "bootvid.dll", "kdcom.dll" };
    for (UINT32 i = 0; i < 5; i++)
    {
        if (strcmp(Name, ModuleName[i]) == 0)
        {
            return TRUE;
        }
    }
    ImageImportDescriptor++;
}

资源表

程序中常用的有六类资源：位图(BITMAP)、光标(CURSOR)、图标(ICON)、菜单(MENU)、对话框(DIALOG)、自定义资源。
资源表描述了资源数据在PE中的分布情况。PE文件的资源组织方式类似于文件管理。从根目录开始，下有一级子目录（按资源类型分类）、二级子目录（按资源ID分类）、三级子目录（按资源的代码页分类），三级子目录下的才是真正的资源数据项。
这么说可能比较抽象，直接查看一个实例的资源表：
在这里插入图片描述
根目录资源目录根据资源类型分成了10个资源目录项；资源目录项1，它又根据资源ID分成了17个资源目录项。
在这里插入图片描述
这个新的资源目录项1按照资源代码页分类，只得到一个资源目录项1，它下面的才是真正的资源数据项。
在这里插入图片描述
所以，PE文件的资源表共涉及到3个数据结构：资源目录头、资源目录项、资源数据项。

// 资源目录头
typedef struct _IMAGE_RESOURCE_DIRECTORY_
{
    DWORD Characteristics;      //资源的属性，保留为将来使用，必须为0
    DWORD TimeDataStamp;        //资源的创建时间
    WORD  MajorVersion;         //资源的主版本号
    WORD  MinorVersion;         //资源的次版本号
    WORD  NumberOfNamedEntries; //以名称命名的目录项个数
    WORD  NumberOfIdEntries;    //以ID命名的目录项个数
}IMAGE_RESOURCE_DIRECTORY, *PIMAGE_RESOURCE_DIRECTORY;
// 资源目录项
typedef struct _IMAGE_RESOURCE_DIRECTORY_ENTRY_
{
    DWORD Name;         //目录项的名称或ID，最高位（31位）为1时表示低地址部分为一个指向Unicode字符串的指针；为0时表示该字段是一个编号。
    DWORD OffsetToData; //一个指针，最高位（31位）为1时表示低位数据指向下一级目录块的起始地址；为0时表示指针指向的是描述资源数据块的指针，通常出现再第三级目录中
}IMAGE_RESOURCE_DIRECTORY_ENTRY, *PIMAGE_RESOURCE_DIRECTORY_ENTRY;
// 资源数据项
typedef struct _IMAGE_RESOURCE_DATA_ENTRY_
{
    DWORD OffsetToData; //指向资源数据块的指针，是一个RVA值，再文件中访问时需要注意转换成文件偏移
    DWORD Size;         //资源数据的大小
    DWORD CodePage;     //代码页，未用，大多数情况下为0
    DWORD Reserved;     //保留字段，总是为0
}IMAGE_RESOURCE_DATA_ENTRY, *PIMAGE_RESOURCE_DATA_ENTRY;

安全表

如果一个PE文件有数字签名，则其安全表不为NULL。

typedef struct _WIN_CERTIFICATE
{
    DWORD dwLength;
    WORD  wRevision;            //证书版本，WIN_CERT_REVISION_xxx
    WORD  wCertificateType;     //证书类型，WIN_CERT_TYPE_xxx
    BYTE  bCertificate[ANYSIZE_ARRAY];	//包含一个或多个证书，一般来说这个证书的内容一直到安全表的末尾
} WIN_CERTIFICATE, *PWIN_CERTIFICATE;

重定位表

PE文件被装入内存时，其基地址是由OptionalHeader->ImageBase决定的。但是如果装入时该位置已被占用，则操作系统会重新选择一个基地址，此时就需要对所有的重定位信息进行修正，修正的依据就是重定位表。
它与导入表类似，是一个结构体数组。

typedef struct _IMAGE_BASE_RELOCATION_
{
    DWORD VirtualAddress;   //重定位内存页的起始RVA
    DWORD SizeOfBlock;      //重定位块的大小
}IMAGE_BASE_RELOCATION, *PIMAGE_BASE_RELOCATION;

调试信息表

typedef struct _IMAGE_DEBUG_DIRECTORY
{
    DWORD Characteristics;
    DWORD TimeDataStamp;    //Debug信息的时间
    WORD  MajorVersion;     //Debug的主版本
    WORD  MinorVersion;     //Debug的次版本
    DWORD Type;             //Debug信息的类型
    DWORD SizeOfData;       //Debug数据的大小
    DWORD AddressOfRawData; //当被映射到内存时Debug数据的大小
    DWORD PointerToRawData; //Debug数据的文件偏移
}IMAGE_DEBUG_DIRECTORY, *PIMAGE_DEBUG_DIRECTORY;

TLS

typedef struct _IMAGE_TLS_DIRECTORY32 
{
  ULONG StartAddressOfRawData;	// TLS模板的起始地址
  ULONG EndAddressOfRawData;	// TLS模板的结束地址，最后一个字节的地址，不包括用于填充的0
  ULONG AddressOfIndex;			// TLS索引的位置，索引的具体值由加载器确定。这个位置在.data中。
  ULONG AddressOfCallBacks;		// 指向TLS回调函数的指针数组，数组以NULL结尾。若没有回调函数，则指向的位置是4个字节的0
  ULONG SizeOfZeroFill;			// 用0填充的字节数
  ULONG Characteristics;		// 保留
} IMAGE_TLS_DIRECTORY32, *PIMAGE_TLS_DIRECTORY32;
typedef struct _IMAGE_TLS_DIRECTORY64
{
  ULONGLONG StartAddressOfRawData;
  ULONGLONG EndAddressOfRawData;
  ULONGLONG AddressOfIndex;
  ULONGLONG AddressOfCallBacks;
  ULONG SizeOfZeroFill;
  ULONG Characteristics;
} IMAGE_TLS_DIRECTORY64, *PIMAGE_TLS_DIRECTORY64;

节表

节表是PE文件中所有节的目录。
节表的大小 = 节的数量(IMAGE_FILE_HEADER->NumberOfSections) * 40字节

typedef struct _IMAGE_SECTION_HEADER 
{
    BYTE    Name[8];                // 节名称，8字节，一般情况是一个以“\0”结尾的ASCII码字符串，#define IMAGE_SIZEOF_SHORT_NAME  8
    union 
    {
        DWORD   PhysicalAddress;    // 物理地址  
        DWORD   VirtualSize;        // 实际的节区大小，就是节的数据在没有对齐前的真实尺寸
    } Misc;
    DWORD   VirtualAddress;         // 节区起始数据的RVA，一般为0x1000(我自己认为的，并不是书上的)
    DWORD   SizeOfRawData;          // 节在文件中对齐后的大小
    DWORD   PointerToRawData;       // 节区起始数据在文件中的偏移（即FOA）
    DWORD   PointerToRelocations;   // 指向重定位表的指针（在“.obj”文件中使用）
    DWORD   PointerToLinenumbers;   // 行号表的偏移（供调试使用）  
    WORD    NumberOfRelocations;    // 重定位表的个数（在“.obj”文件中使用）  
    WORD    NumberOfLinenumbers;    // 行号表中行号的数目  
    DWORD   Characteristics;        // 节区的属性，如可读、可写、可执行等  
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

当PE文件被加载到内存中时，其占用的地址空间要比在磁盘中大一点，因为各个节在内存中是按页对齐的。
在这里插入图片描述

通过RVA获得FOA

ULONG
RvaToFoa(
    IN PIMAGE_NT_HEADERS NtHeaders,
    IN ULONG             Rva
)
{
    PIMAGE_SECTION_HEADER SecHeader = IMAGE_FIRST_SECTION(NtHeaders);
    for (UINT32 i = 0; i < NtHeaders->FileHeader.NumberOfSections; i++, SecHeader++)
    {
        if (Offset >= SecHeader->VirtualAddress &&
            Offset <= SecHeader->VirtualAddress + SecHeader->Misc.VirtualSize)
        {
            return SecHeader->PointerToRawData + (Rva - SecHeader->VirtualAddress);
        }
    }
    return 0xFFFFFFFF;
}

常见的节

  • .text：包含CPU执行指令，是唯一可以执行的节。
  • .rdata：包含只读数据，包括导入与导出函数信息。有的文件还会包含.idata和.edata节，来存储导入导出信息。
  • .data：包含全局数据。
  • .rsrc：包含由可执行文件所使用的资源，这些内容并不是可执行的，如图标、图片、菜单项和字符串等。

在这里插入图片描述

哎呀呀呀浅汐
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
软件加密技术内幕
03-19
1.2 PE文件结构 1.2.1 The MS-DOS头部 1.2.2 IMAGE_NT_HEADERS头部 1.2.3 区块表（The Section Table） 1.2.4 各种块（Sections）的描述 1.2.5 输出表 1.2.6 输出转向（Export Forwarding） 1.2.7 输入表 ...
PE结构详解
热门推荐
比尔丁子
03-01 3万+
1 基本概念 下表描述了贯穿于本文中的一些概念： 名称 描述 地址 是“虚拟地址”而不是“物理地址”。为什么不是“物理地址”呢？因为数据在内存的位置经常在变，这样可以节省内存开支、避开错误的内存位置等的优势。同时用户并不需要知道具体的“真实地址”，因为系统自己会为程序准备好内存空间的（只要内存足够大） 镜像文件 包含以EXE文件为代表的“可执行文件”、以D
PE（64位）文件之导入表
锋刃科技的博客
01-06 1671
导入表是PE文件中一个重要的表项，负责声明从其他的库中调入函数。一般代表着这个PE文件使用了哪些其他库的函数。 首先我们先了解下几个名词： PE文件：PE结构的文件，一般为可执行程序，.exe、.dll、.sys、.vxd、.ocx、.com等。 VA(Virtual Address)： 虚拟地址，代表着PE文件映射进内存之后的地址。 RVA(Reverse Virtual Address)：相对虚拟地址，对于PE文件映射进内存之后相对基地址偏移。 FOA(File Offset Addres..
巨无霸Win8PE X64服务器维护专用,飞扬时空 Win8/Win10 PE 64位增强版
weixin_35123047的博客
08-12 1726
Windows PE 是 Windows Preinstallation Environment 的简称，中文名称为 Windows 预安装环境，由微软在2002年7月22日发布。它是带有限服务的最小Win32子系统，基于以保护模式运行的 Windows 内核。可以说它是简化版的Windows(XP、Windows Server 2003、Windows Vista、Windows 7、Windo...
深入理解PE，手工制作64位PE程序
yhy1315的博客
06-09 1090
由于像 ASLR 这样的内存保护以及许多其他原因，该字段指定的地址几乎从未被使用过，在这种情况下，PE 加载程序选择一个未使用的内存范围来加载图像，在将图像加载到该地址后加载器进入一个称为重定位的过程，它修复图像中的常量地址以使用新的图像库，有一个特殊的部分保存有关需要重定位时需要修复的地方的信息，该部分称为重定位部分(对于 DLL，入口点是可选的，在没有入口点的情况下，该。十进制为70，这个大小是由我们在节区的数据量来确定，我们这个操作码+字符常量的总占地大小为70，所以这里填写70。
逆向工程核心原理——PE文件格式分析
weixin_46601374的博客
11-19 1866
什么是PE文件？ PE文件的全称是Portable Executable，意为可移植的可执行的文件 PE文件是指32位可执行文件，也称为PE32。64位的可执行文件称为PE+或PE32+,是PE(PE32)的一种扩展形式（请注意不是PE64)。 常见种类 种 类 主扩展名 种 类 主扩展名 可执行系列 EXE、SCR 驱动程序系列
逆向工程实验一
weixin_52852770的博客
03-09 963
熟悉PE文件格式，通过对PE文件头分析，理解PE文件格式，掌握主要数据结构的定位及其功能，如入口点、节表、节、导入表等。研究如何利用工具对各部分的内容进行读取分析显示，理解RVA、VA、FOA之间的关系；初步掌握汇编程序的调试方法。
PE文件格式分析-WinHex工具-文件头-32位PE-部分64位PE
插件开发
06-17 4644
  PE即Portable Executable，是Windows OS下使用的可执行文件格式。PE文件是指32位的可执行文件，亦称为PE32。64位的可执行文件称为PE+或PE32+，是PE文件的一种扩展形式。常见PE文件格式如下图所示：   PE文件最前面是IMAGE_DOS_HEADER结构体，用来扩展已有的DOS EXE头。该结构体大小为40(h)字节，其中有两个重要的成员e_magic和e_lfanew。   e_magic：DOS签名（4D5Z，即“MZ”）。   e_lfanew：指示NT头的
windows PE Image 文件分析（6）--- .reloc 节与 base relocation table
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
12-11 3087
.reloc 节和 base relocation table 仅存在于 Image 文件中，用于当映像被加载运行的 ImageBase 改变后，对映像内的使用的地址进行重定位。 需要进行 ImageBase 重定位的映像性能会变得很糟糕。32 位的应用程序在 64 位系统上运行就是一个典型的例子。 下面以前面的 32 位 helloworld.exe 映像为例子   1. ImageBa
C盘无法访问怎么办？解决文件或目录损坏且无法读取的办法.docx
09-26
小结 C盘无法访问的问题可能是由于文件系统变成了RAW格式引起的。为了解决这个问题，我们可以使用PE系统启动，然后启动“分区助手专业版”软件，使用CHKDSK工具来检查和修复分区错误。只有恢复文件系统结构，才能...
微PE WePE_64_V2.0
02-23
1、微PE经测试未发现捆绑和无用垃圾。（大白菜等都有广告或捆绑、修改主页等） 2、可以安装到U盘、硬盘，生成ISO。 3、支持bios和uefi双启动
PE_64位_纯净无广告.zip
02-11
安装Windows系统几种常用方法简介 光盘安装 光盘安装可以说是最原始的方式，方便快捷，但是容易买到盗版光碟（二次封装系统，可能不纯净）况且如今有光驱的电脑已经越来越少了，所以并不推荐该方法。 硬盘安装 使用NT6 HDD Installer进行硬盘安装，原理是将系统镜像iso直接加载到硬盘根目录并创建引导。注意，该方法只适合MBR分区表，GPT分区表会翻车！！！（现在大部分电脑使用GPT分区表，EFI启动方式） 预安装 使用Windows PE或者类似预安装系统进行系统安装（最常用），PE系统具有很多优势，方便快捷，功能强大，操作简便。
软件加密技术内幕 chm
10-04
1.2 PE文件结构 1.2.1 The MS-DOS头部 1.2.2 IMAGE_NT_HEADERS头部 1.2.3 区块表（The Section Table） 1.2.4 各种块（Sections）的描述 1.2.5 输出表 1.2.6 输出转向（Export Forwarding） 1.2.7 ...
PE-64位-重定位表-读取解析-保存修改-代码
插件开发
03-14 1732
重定位表（Relocation Table）用于在程序加载到内存中时，进行内存地址的修正。一个简单程序test.exe需要三个动态链接库dll（a.dll，b.dll，c.dll），假设test.exe的ImageBase为400000H，而a.dll、b.dll、c.dll的基址ImageBase均为1000000H。
学PE文件结构之记笔记
YANG12345_6的博客
03-16 693
之前学过PE，但由于是只看的小甲鱼的视频，没有做笔记，后来就记忆模糊了。 再重温一遍，做一下笔记。记忆更深刻一点。 PE PE(protable executable) 可移植的可执行文件 EXE和DLL文件之间的区别是语义上的，他们使用完全相同的PE格式。唯一的区别：用一个字段标识出EXE或DLL。 64位Windows，新的PE : PE32+。普通PE：PE32.PE32+没有任何新的结构加进去。 PE格式定义的主要地方位于头文件 winnt.h，头文件中几乎能找到关于PE文件的所有定
判断PE文件（可执行程序exe、动态链接库dll）是32位，还是64位？
maoyeahcom的博客
08-20 2554
方法有很多，本文只介绍三种方法： ================================================================================ 方法一： 最简单粗暴的方法： 直接用记事本或者notepad++（文本编辑软件都可）打开exe文件（dll文件）， 会有很多乱码，接下来只需要在第二段中找到PE两个字母，在其后的不远出会出现d? 或者L。 若是L，则证明是32位； 若是d，则证明该程序是64位。 32位（x86）： 64位（x64）： ====
Windows下判断PE文件是32位还是64位程序
perry_xiao的专栏
09-01 7623
int __stdcall get_file_machine_bit(const WCHAR * pwszFullPath) { FILE * peFile = NULL; _wfopen_s(&peFile, pwszFullPath, L"rb"); if (peFile == NULL) { fclose(peFile)
Linux内核笔记006 - 交换分区
北观止的博客
10-13 703
1. 交换分区概念 一个cpu，同一时刻只能执行一条指令，执行某个进程时，其它进程一定是停止状态。那么，当cpu切换到进程B运行时，如果系统中已经没有空闲的物理内存页面了，内核就会选择一个其它进程占用的物理内存页面，将其内容备份到磁盘上，这样就可以先腾出来给当前正在运行的进程B使用了，这个过程叫做"页面换出"，当切换到进程A运行时，再重新分配一个物理内存页面（如果也没有空闲物理内存页面，同样执行换出操作），并且从磁盘上恢复换出的内容，这个过程叫做"页面换入"。用于备份内存数据的磁盘空间，就是"交换..
pe结构 pdf文件
最新发布
11-10
PE结构（Portable Executable Structure）是一种Windows操作系统下的可执行文件格式，常用于存储和加载应用程序、动态链接库和驱动程序等可执行文件。而PDF（Portable Document Format）是一种跨平台的文档格式，...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值