WinPE基础知识之代码解析

最新推荐文章于 2022-06-05 21:34:09 发布
最新推荐文章于 2022-06-05 21:34:09 发布
阅读量173 收藏
点赞数
原文链接：http://www.cnblogs.com/duxie/p/10857796.html
版权 
void CMyPE::OnClickedButton1()
{
	// TODO:  在此添加控件通知处理程序代码

	// 打开一个文件夹选择对话框
	CFileDialog dlg(TRUE);
	dlg.DoModal();
	// 将文件路径显示到编辑框
	CString path = dlg.GetFolderPath();
	CString path1 = dlg.GetFileName();
	m_Edit.SetWindowText(path + L"\\" + path1);

	// 将PE文件读到缓冲区
	HANDLE hFile = CreateFile(path + L"\\" + path1,
		GENERIC_WRITE | GENERIC_READ,
		FILE_SHARE_READ,
		NULL,
		OPEN_EXISTING,
		FILE_ATTRIBUTE_NORMAL,
		NULL);
	if (hFile == (HANDLE)-1)
	{
		printf("文件不存在！\n");
		return;
	}
	DWORD size = GetFileSize(hFile, NULL);
	LPBYTE pBuff = new BYTE[size];
	DWORD dwRead = 0;
	ReadFile(hFile, pBuff, size, &dwRead, 0);

	// 使用对应的结构体解析内存中的数据
	IMAGE_DOS_HEADER* pDos = NULL;
	pDos = (IMAGE_DOS_HEADER*)pBuff;
	if (pDos->e_magic != IMAGE_DOS_SIGNATURE)
	{
		MessageBox(L"不是有效的PE格式！\n");
		return;
	}
	// 找到NT头
	IMAGE_NT_HEADERS* pNt = NULL;
	pNt = (IMAGE_NT_HEADERS*)(pDos->e_lfanew + pBuff);
	if (pNt->Signature != IMAGE_NT_SIGNATURE)
	{
		MessageBox(L"不是有效的PE格式！\n");
		return;
	}
	// 找到文件头
	IMAGE_FILE_HEADER pFile = pNt->FileHeader;
	m_FileTree.DeleteAllItems();
	// 添加区段数量
	CString str1;
	str1.Format(L"区段数量：%d", pFile.NumberOfSections);
	m_FileTree.InsertItem(str1, NULL, TVI_LAST);
	// 添加扩展头大小
	CString str2;
	str2.Format(L"扩展头大小：%d", pFile.SizeOfOptionalHeader);
	m_FileTree.InsertItem(str2, NULL, TVI_LAST);

	// 找到扩展头
	IMAGE_OPTIONAL_HEADER pOptional = pNt->OptionalHeader;
	m_OptTree.DeleteAllItems();
	// OEP
	CString str3;
	str3.Format(L"OEP:%x", pOptional.AddressOfEntryPoint);
	m_OptTree.InsertItem(str3, NULL, TVI_LAST);
	// 镜像基址
	CString str4;
	str4.Format(L"镜像基址：%x", pOptional.ImageBase);
	m_OptTree.InsertItem(str4, NULL, TVI_LAST);
	// 块对齐数
	CString str5;
	str5.Format(L"块对齐数%x", pOptional.SectionAlignment);
	m_OptTree.InsertItem(str5, NULL, TVI_LAST);
	// 文件对齐数
	CString str6;
	str6.Format(L"文件对齐数：%x", pOptional.FileAlignment);
	m_OptTree.InsertItem(str6, NULL, TVI_LAST);
	// 内存大小
	CString str7;
	str7.Format(L"内存大小：%x", pOptional.SizeOfImage);
	m_OptTree.InsertItem(str7, NULL, TVI_LAST);

	// 找到数据目录表
	m_List3.DeleteAllItems();
	PIMAGE_DATA_DIRECTORY dData = pOptional.DataDirectory;
	DWORD dwIndex2 = 0;
	for (DWORD i = 0; i < pOptional.NumberOfRvaAndSizes; i++)
	{
		// 先插入一个item 到列表
		m_List3.InsertItem(dwIndex2, L"");
		CString str8;
		str8.Format(L"%x", dData[i].VirtualAddress);
		m_List3.SetItemText(dwIndex2, 0, str8);
		CString str9;
		str9.Format(L"%x", dData[i].Size);
		m_List3.SetItemText(dwIndex2, 1, str9);
		dwIndex2++;
	}

	// 区段表
	// 使用宏来找到区段头数组的首地址
	// 首地址 = NT头的首地址 + NT头的总字节数
	IMAGE_SECTION_HEADER* pScnHdr = NULL;
	// 使用宏来找到区段头数组的首地址
	pScnHdr = IMAGE_FIRST_SECTION(pNt);
	// 得到区段头的个数
	DWORD scnHdrCount = pNt->FileHeader.NumberOfSections;
	m_SCNTree.DeleteAllItems();
	for (DWORD i = 0; i < scnHdrCount; i++)
	{
		HTREEITEM hItem;
		CStringW str10(pScnHdr[i].Name);
		hItem = m_SCNTree.InsertItem(L"区段名称：" + str10, NULL, TVI_LAST);
		
		CString str11;
		str11.Format(L"区段大小：%x", pScnHdr[i].Misc.VirtualSize);
		m_SCNTree.InsertItem(str11, hItem);

		CString str12;
		str12.Format(L"RVA：%x", pScnHdr[i].VirtualAddress);
		m_SCNTree.InsertItem(str12, hItem);

		CString str13;
		str13.Format(L"文件大小：%x", pScnHdr[i].SizeOfRawData);
		m_SCNTree.InsertItem(str13, hItem);

		CString str14;
		str14.Format(L"文件偏移：%x", pScnHdr[i].PointerToRawData);
		m_SCNTree.InsertItem(str14, hItem);
	}

	/*导入表*/
	// 1:获取导入表的首地址
	DWORD dwImpTabRva = pNt->OptionalHeader.DataDirectory[1].VirtualAddress;
	// 将RVA转换为FOA
	DWORD dwImpTabFoa = rva2foa(pNt, dwImpTabRva);
	// 得到导入表数组的首地址
	IMAGE_IMPORT_DESCRIPTOR* pImp =
		(IMAGE_IMPORT_DESCRIPTOR*)(dwImpTabFoa + pBuff);
	// 2:遍历导入表数组，数组以0结尾
	m_ImportTree.DeleteAllItems();
	while (pImp->Name != 0)
	{
		// 3:在遍历出每一个导入表后，遍历它的INT或者IAT
		// 3.1 获取导入表DLL的名字
		DWORD dwNameFoa = rva2foa(pNt, pImp->Name);
		char* pDllName = (char*)(dwNameFoa + pBuff);
		HTREEITEM hItem;
		CStringW str15(pDllName);
		hItem = m_ImportTree.InsertItem(L"模块名称：" + str15, NULL, TVI_LAST);
		// 3,2 从INT中得到所有的导入函数的名字/序号
		IMAGE_THUNK_DATA* pInt = 0;
		DWORD dwIntFoa = rva2foa(pNt, pImp->OriginalFirstThunk);
		pInt = (IMAGE_THUNK_DATA*)(dwIntFoa + pBuff);

		while (pInt->u1.Function != 0)
		{
			// 判断导入的方式：序号导入还是名称导入
			if (IMAGE_SNAP_BY_ORDINAL(pInt->u1.Ordinal))
			{
				CString str16;
				str16.Format(L"函数序号：%x", pInt->u1.Ordinal & 0xFFFF);
				m_ImportTree.InsertItem(str16, hItem);
			}
			else
			{
				IMAGE_IMPORT_BY_NAME* pImpName = 0;
				DWORD dwNameFoa1 = rva2foa(pNt, pInt->u1.AddressOfData);
				pImpName = (IMAGE_IMPORT_BY_NAME*)(dwNameFoa1 + pBuff);
				CString str17(pImpName->Name);
				m_ImportTree.InsertItem(L"函数名称：" + str17, hItem);
			}
			++pInt;
		}
		++pImp;
	}

	/*导出表*/
	// 获取导出表首地址
	DWORD dwExpTabFoa = rva2foa(pNt, pNt->OptionalHeader.DataDirectory[0].VirtualAddress);
	m_ExportTree.DeleteAllItems();
	if (pNt->OptionalHeader.DataDirectory[0].VirtualAddress)
	{
		// 定位到导出表结构
		IMAGE_EXPORT_DIRECTORY* pExpTab =
			(IMAGE_EXPORT_DIRECTORY*)(dwExpTabFoa + pBuff);
		// 定位函数名称表
		DWORD* pENT = (DWORD*)(rva2foa(pNt, pExpTab->AddressOfNames) + pBuff);
		// 定位函数序号表
		WORD* pEOT = (WORD*)(rva2foa(pNt, pExpTab->AddressOfNameOrdinals) + pBuff);
		for (DWORD i = 0; i < pExpTab->NumberOfNames; i++)
		{
			char* pName = (char*)(rva2foa(pNt, pENT[i]) + pBuff);
			HTREEITEM hItem;
			CString str19;
			str19.Format(L"函数序号：%d", pEOT[i]);
			hItem = m_ExportTree.InsertItem(str19, NULL, TVI_LAST);
			CString str18(pName);
			m_ExportTree.InsertItem(L"函数名称：" + str18, hItem);
		}
	}

	/*资源表*/
	// 定位到第一层目录结构
	m_CtrlTree.DeleteAllItems();
	if (pNt->OptionalHeader.DataDirectory[2].VirtualAddress)
	{
		IMAGE_RESOURCE_DIRECTORY* pResDir = NULL;
		DWORD dwResTabRva = pNt->OptionalHeader.DataDirectory[2].VirtualAddress;
		DWORD dwResTabFoa = rva2foa(pNt, dwResTabRva);
		pResDir = (IMAGE_RESOURCE_DIRECTORY*)(dwResTabFoa + pBuff);
		parseResources((LPBYTE)pResDir, pResDir, m_CtrlTree, 1);
	}

	/*重定位表*/
	// 定位到重定位快的首地址
	m_ReTree.DeleteAllItems();
	if (pNt->OptionalHeader.DataDirectory[5].VirtualAddress)
	{
		DWORD dwRelTabRva = pNt->OptionalHeader.DataDirectory[5].VirtualAddress;
		DWORD dwRelTabFoa = rva2foa(pNt, dwRelTabRva);
		IMAGE_BASE_RELOCATION* pRelTab =
			(IMAGE_BASE_RELOCATION*)(dwRelTabFoa + pBuff);
		while (pRelTab->SizeOfBlock != 0)
		{
			TypeOffset* pTypeOffset = NULL;
			pTypeOffset = (TypeOffset*)(pRelTab + 1);
			DWORD dwCount = (pRelTab->SizeOfBlock - 8) / 2;
			CString str30;
			str30.Format(L"区段RVA：%x", pRelTab->VirtualAddress);
			HTREEITEM hItem;
			hItem = m_ReTree.InsertItem(str30, NULL, TVI_LAST);
			for (DWORD i = 0; i < dwCount; ++i)
			{
				CString str31;
				str31.Format(L"属性：%x", pTypeOffset[i].Type);
				m_ReTree.InsertItem(str31, hItem);
				CString str32;
				str32.Format(L"偏移：%x", pTypeOffset[i].Offset);
				m_ReTree.InsertItem(str32, hItem);
			}
			// 得到下一个重定位快的首地址
			pRelTab = (IMAGE_BASE_RELOCATION*)((LPBYTE)pRelTab + pRelTab->SizeOfBlock);

		}
	}

	/*TLS表*/
	// 定位到TLS的首地址
	m_TLSTree.DeleteAllItems();
	if (pNt->OptionalHeader.DataDirectory[9].VirtualAddress)
	{
		DWORD dwTLSTabRva = pNt->OptionalHeader.DataDirectory[9].VirtualAddress;
		DWORD dwTLSTabFoa = rva2foa(pNt, dwTLSTabRva);
		IMAGE_TLS_DIRECTORY* pTLSTab =
			(IMAGE_TLS_DIRECTORY*)(dwTLSTabFoa + pBuff);
		CString str33;
		str33.Format(L"数据块开始VA：%x", pTLSTab->StartAddressOfRawData);
		m_TLSTree.InsertItem(str33, NULL, TVI_LAST);
		CString str34;
		str34.Format(L"数据块结束VA：%x", pTLSTab->EndAddressOfRawData);
		m_TLSTree.InsertItem(str34, NULL, TVI_LAST);
		CString str35;
		str35.Format(L"回调表VA：%x", pTLSTab->AddressOfCallBacks);
		m_TLSTree.InsertItem(str35, NULL, TVI_LAST);
	}
}

　　

转载于:https://www.cnblogs.com/duxie/p/10857796.html

weixin_30604651
关注
解析PE文件代码
qq_43445167的博客
07-03 685
图形界面暂时没做出来 暑假学学QT 读文件只能在主函数里写文件路径 ， 是有点low… （流下了没技术的泪水） 头文件代码： #pragma once #include<Windows.h> class CPe { private: PTCHAR ptcFilePath; //PE文件路径 IMAGE_DOS_HEADER pe_cDosHeader; I...
pe（32位）导入表解析代码
JTB_xia的博客
06-12 147
#include <iostream> #include <Windows.h> #include <fstream> #include "ku.h" using namespace std; int main(int argc, char** argv) { if (argc != 2) { return 1; } UINT l; cout.setf(ios::hex, ios_base::showbase.
PE解析导出表--代码
跃然实验室
06-10 489
//导出表信息 typedef struct _EXPORT_INFO { char cDllName[256]; //用于保存DLL库名 pFuncInfo pFunctionInfo; //指向FUNC_INFO结构体数组,用于保存若干个函数信息 long lFuncNum...
PE文件解析工具源代码
01-10
没什么高深的技术性可言。仅仅是根据微软的Pe格式来解析exe文件而已。作为新手学习PE的一个参考吧。。内附vc base论坛的PE格式说明文档。witch 2013-1-10
手动解析PE文件（含打印PE文件信息的C练习代码）
lygl35的博客
06-17 1042
1、DOS头 _IMAGE_DOS_HEADER(共40个字节) WORD e_magic // 5A4D *EXE标志，“MZ” WORD e_cblp //0090 WORD e_cp //0003 WORD e_crlc //0000 WORD e_cparhdr //0004 WORD e_minalloc //0000 WORD e_maxalloc //FFFF WORD e_ss
WinPE基础知识，WinPE知识大全，WinPE信息汇总
07-26
WinPE的基础知识主要涵盖以下几个方面： 1. **WinPE的组成**：WinPE主要包括内核、驱动程序集合、基本用户界面、命令行工具以及可能的第三方工具。其中，内核是WinPE的核心，负责系统的运行；驱动程序支持硬件设备...
制作WinPE的基础知识
11-04
以下是制作WinPE的基础知识： 1. **WINPE.INI调用过程**： - 在WinPE系统中，`SYSTEM32\PECONFIG.INI`文件指定了WINPE.INI的位置和进程延时时间。例如，设置进程延时10秒，并指定外部配置文件为`外置程序\WinPE....
WinPE镜像制作代码.docx
09-27
WinPE镜像制作代码详解 WinPE镜像制作代码是指使用Windows Preinstallation Environment（WinPE）来创建可启动的镜像文件，通常用于系统维护、数据恢复和操作系统安装等场景中。下面我们将对WinPE镜像制作代码进行...
解析PE头（上课代码）
weixin_30443731的博客
03-28 238
// 02 解析PE头.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h" #include "windows.h" bool IsPeFile(TCHAR* szPath) { BOOL bSuccess = TRUE; //1 将PE文件读取到内存 HANDLE hFile = CreateFile( ...
WindowsPE权威指南源码
12-22
Windows PE 开发学习宝典，很好很强大，可以给很多启发，资源共享
PE文件解析类（轻松制作自己的PE文件解析器）
02-06
PE是Portable Executable File Format（可移植的执行体）简写，它是目前Windows平台上的主流可执行文件格式。 PE文件中包含的内容很多，具体我就不在这解释了，有兴趣的可以参看之后列出的参考资料及其他相关内容。 最近我也在学习PE文件格式，参考了许多资料，用C++封装了一个高效方便的PE文件格式解析的类。 该类对想学PE文件结构的朋友可算一份可贵的资料，代码均很易懂，考虑较全面，具有一定的通用性。 同时该类也可以让想创建自己的PE文件解析软件的朋可以轻松在此基础上实现。 最后，错误在所难免，如果大家发现有错误，欢迎大家指正。 具体参看：http://blog.csdn.net/paschen/article/details/50640421
MakePE:用于构建WinPE 3，WinPE 5和WinPE 10的脚本
05-02
MakePE 版本20151015.1用于构建WinPE 3，WinPE 5和WinPE 10的脚本
PE网上源代码
04-26
PE是一个很久的工具源码
Windows-pe-vagrant：在无所事事的环境中构建的示例Windows PE（WinPE）iso
02-06
Windows-pe-vagrant：在无所事事的环境中构建的示例Windows PE（WinPE）iso
PE文件导出表解析代码实现
做一个快乐学习者
05-01 534
PE文件导出表结构 typedef struct _IMAGE_EXPORT_DIRECTORY { //保留。恒为0x00000000 DWORD Characteristics; //导出表的创建时间（GMT） DWORD TimeDateStamp; //导出表的主版本号 WORD MajorVersion; //导出表的子版本号 WORD Mi...
手工解析PE(文件注入)
GNAIXGNAHZ的博客
06-05 1303
手工解析PE(文件注入)
WinPE制作语法
cz_water的专栏
08-26 2022
┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓┃                              WinCMD - 命令解释程序，内置以下环境变量的支持                             ┃┣━━━━━━━━━━━━━━━━┯━━━━━━━━━━━━━━━━━┯━━━━━━━━━━━━━━━━━┫┃Cur
winpe权威指南 源码_Spark SQL源码解析（二）Antlr4解析Sql并生成树
weixin_39579726的博客
12-09 200
Spark SQL原理解析前言：Spark SQL源码剖析（一）SQL解析框架Catalyst流程概述这一次要开始真正介绍Spark解析SQL的流程，首先是从Sql Parse阶段开始，简单点说，这个阶段就是使用Antlr4，将一条Sql语句解析成语法树。可能有童鞋没接触过antlr4这个内容，推荐看看《antlr4权威指南》前四章，看完起码知道antlr4能干嘛。我这里就不多介绍了。这篇首先先介...
WinPE制作入门指南
"WinPE制作基础" WinPE，全称Windows Preinstallation Environment，是微软提供的一种轻量级的Windows操作系统环境，主要用于系统安装、维护、故障恢复等场景。了解WinPE制作基础对于IT技术人员来说至关重要，尤其...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值