pe文件结构 基础篇

最新推荐文章于 2024-06-03 21:10:17 发布
最新推荐文章于 2024-06-03 21:10:17 发布
阅读量790 收藏 2
点赞数
文章标签： 数据结构
原文链接：https://zhuanlan.zhihu.com/p/47075612
版权

前言

之前学习了PE格式，为了更好的理解，决定写一个类似LoadPE的小工具。

编译器是VS2015，采用MFC框架。

此系列文章采用边介绍知识点，边写代码的形式，以免变的无聊丧失兴趣。

PE知识请参照《加密与解密》第10章。

PE文件格式

1. PE文件基本概念

PE文件是windows系统中遵循PE结构的文件，比如以.exe .dll为后缀名的文件以及系统驱动文件。(PE结构框架看下图）

PE文件大体分为两部分，头(包括下图中的DOS头，PE文件头，块表)与主体(块)。

PE文件从磁盘当中像内存中的映射，不是简单的“1对1”的关系，而是“拉长”了。具体的位置表现在块。但是磁盘上的数据结构与在内存中的结构是一致的。

无论PE文件在磁盘中还是在内存中，都少不了地址的概念，理解一下几个概念至关重要。

虚拟地址(VA)： 在一个程序运行起来的时候，会被加载到内存中，并且每个进程都有自己的4GB，这个4GB当中的某个位置叫做**虚拟地址**，由物理地址映射过来的，4GB的空间，并没有全部被用到。

基地址(Imagebase):磁盘中的文件加载到内存当中的时候可以加载到任意位置，而这个位置就是程序的基址。EXE默认的加载基址是400000h,DLL文件默认基址是10000000h。需要注意的是基地址不是程序的入口点。

相对虚拟地址(RVA):为了避免PE文件中有确定的内存地址，引入了相对虚拟地址的概念。RVA是在内存中相对与载入地址(基地址）的偏移量，所以你可以发现前三个概念的关系：虚拟地址(VA)= 基地址+相对虚拟地址(RVA)

文件偏移地址(FOA)：当PE文件储存在某个磁盘当中的时候，某个数据的位置相对于文件头的偏移量。

入口点(OEP)：首先明确一个概念就是OEP是一个RVA，然后使用OEP +Imagebase ==入口点的VA，通常情况下，OEP指向的不是main函数。

存了张图比较好的解释了各部分的关系:

接下来依次介绍PE结构框图的每个部分。

2. DOS头部

每个PE文件都是以DOS头开始的，IMAGE_DOS_HEADER 结构如下所示：

（最左边是文件头的偏移量。）

IMAGE_DOS_HEADER STRUCT
{
+0h WORD    e_magic//   MZ(4Dh 5Ah)     DOS可执行文件标记
+2h     WORD    e_cblp
+4h WORD    e_cp
+6h WORD    e_crlc
+8h WORD    e_cparhdr
+0ah    WORD    e_minalloc
+0ch    WORD    e_maxalloc
+0eh    WORD    e_ss
+10h    WORD    e_sp
+12h    WORD    e_csum
+14h    WORD    e_ip
+16h    WORD    e_cs
+18h    WORD    e_lfarlc
+1ah    WORD    e_ovno
+1ch    WORD    e_res[4]
+24h    WORD    e_oemid
+26h    WORD    e_oeminfo
+29h    WORD    e_res2[10]
+3ch    DWORD   e_lfanew//  RVA     指向PE文件头
} IMAGE_DOS_HEADER ENDS

需要关注的点是结构体的第一个和第二个元素。

e_magic:DOS头的标记位，值为4D5Ah。ASCII为”MZ“，判断一个文件是否为PE文件是会用。

e_lfanew:这是一个RVA，代表了PE文件头到基址的偏移量，我们可以用它来找到PE文件头的位置。

我们用010editor打开一个exe文件：

3. PE文件头

IMAGE_NT_HEADERS STRUCT 结构体

IMAGE_NT_HEADERS STRUCT
{
+0h       DWORD    Signature
+4h       IMAGE_FILE_HEADER    FileHeader
+18h      IMAGE_OPTIONAL_HEADER32   OptionalHeader
} IMAGE_NT_HEADERS ENDS

Signature 字段

在一个PE文件中Signature字段被设置为4550h,ASCII码为”PE00“。如上图所示。

IMAGE_FILE_HEADER 结构体

structIMAGE_FILE_HEADER
{
WORD Machine;//运行平台
WORD NumberOfSections;//区块表的个数
DWORD TimeDataStamp;//文件创建时间，是从1970年至今的秒数
DWORD PointerToSymbolicTable;//指向符号表的指针
DWORD NumberOfSymbols;//符号表的数目
WORD SizeOfOptionalHeader;//IMAGE_NT_HEADERS结构中OptionHeader成员的大小，对于win32平台这个值通常是0x00e0
WORD Characteristics;//文件的属性值
}

在010 Editor上查看一下：

IMAGE_OPTIONAL_HEADER 结构体

typedefstruct_IMAGE_OPTIONAL_HEADER
{
//
// Standard fields.  
//
+18h    WORD    Magic;// 标志字, ROM 映像（0107h）,普通可执行文件（010Bh）
+1Ah    BYTE    MajorLinkerVersion;// 链接程序的主版本号
+1Bh    BYTE    MinorLinkerVersion;// 链接程序的次版本号
+1Ch    DWORD   SizeOfCode;// 所有含代码的节的总大小
+20h    DWORD   SizeOfInitializedData;// 所有含已初始化数据的节的总大小
+24h    DWORD   SizeOfUninitializedData;// 所有含未初始化数据的节的大小
+28h    DWORD   AddressOfEntryPoint;// 程序执行入口RVA
+2Ch    DWORD   BaseOfCode;// 代码的区块的起始RVA
+30h    DWORD   BaseOfData;// 数据的区块的起始RVA
//
// NT additional fields.    以下是属于NT结构增加的领域。
//
+34h    DWORD   ImageBase;// 程序的首选装载地址
+38h    DWORD   SectionAlignment;// 内存中的区块的对齐大小
+3Ch    DWORD   FileAlignment;// 文件中的区块的对齐大小
+40h    WORD    MajorOperatingSystemVersion;// 要求操作系统最低版本号的主版本号
+42h    WORD    MinorOperatingSystemVersion;// 要求操作系统最低版本号的副版本号
+44h    WORD    MajorImageVersion;// 可运行于操作系统的主版本号
+46h    WORD    MinorImageVersion;// 可运行于操作系统的次版本号
+48h    WORD    MajorSubsystemVersion;// 要求最低子系统版本的主版本号
+4Ah    WORD    MinorSubsystemVersion;// 要求最低子系统版本的次版本号
+4Ch    DWORD   Win32VersionValue;// 莫须有字段，不被病毒利用的话一般为0
+50h    DWORD   SizeOfImage;// 映像装入内存后的总尺寸
+54h    DWORD   SizeOfHeaders;// 所有头 + 区块表的尺寸大小
+58h    DWORD   CheckSum;// 映像的校检和
+5Ch    WORD    Subsystem;// 可执行文件期望的子系统
+5Eh    WORD    DllCharacteristics;// DllMain()函数何时被调用，默认为 0
+60h    DWORD   SizeOfStackReserve;// 初始化时的栈大小
+64h    DWORD   SizeOfStackCommit;// 初始化时实际提交的栈大小
+68h    DWORD   SizeOfHeapReserve;// 初始化时保留的堆大小
+6Ch    DWORD   SizeOfHeapCommit;// 初始化时实际提交的堆大小
+70h    DWORD   LoaderFlags;// 与调试有关，默认为 0
+74h    DWORD   NumberOfRvaAndSizes;// 下边数据目录的项数，这个字段自Windows NT 发布以来一直是16
+78h    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
// 数据目录表
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

重要的有：

AddressOfEntryPoint: 也就是上文提到的OEP，程序源入口点。

ImageBase: 默认加载基址。

SectionAlignment: 内存当中的块对齐数，一般为0x1000。

FileAlignment:磁盘当中块对齐数，一般为0x200。

SizeOfHeaders:所有头部大小 也就是DOS头 文件头 以及区块头的总大小，文件主体相对文件其实的偏移。

IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]：数据目录表，保存了各种表的RVA及大小。

来看一下数据目录的定义：

IMAGE_DATA_DIRECTORY STRUCT
VirtualAddress    DWORD       ?   ; 数据的起始RVA
Size             DWORD       ?   ; 数据块的长度
IMAGE_DATA_DIRECTORY ENDS

在010 Editor上查看一下：

4. 写代码操作一下

主要解析了DOS头与PE文件头比较重要的字段，直接放代码。

//打开文件
m_hFile = CreateFile(
m_DeleFileName,GENERIC_READ,NULL,NULL,OPEN_EXISTING,
FILE_ATTRIBUTE_NORMAL,NULL);
DWORD dwSize = GetFileSize(m_hFile,NULL);
PBYTE pBuf =newBYTE[dwSize]{};
//读取
ReadFile(m_hFile,pBuf,dwSize,&dwSize,NULL);
//判断是否为PE文件
m_pDos = PIMAGE_DOS_HEADER(pBuf);
if(m_pDos->e_magic!=IMAGE_DOS_SIGNATURE)
{
MessageBox(L"不是有效的PE文件 \n");
CloseHandle(m_hFile);
m_hFile =NULL;
return;
}
m_pNTHeader = PIMAGE_NT_HEADERS(pBuf+m_pDos->e_lfanew);
if(m_pNTHeader->Signature!= IMAGE_NT_SIGNATURE)
{
MessageBox(L"不是有效的PE文件 \n");
CloseHandle(m_hFile);
m_hFile =NULL;
return;
}
//读取文件头信息
m_pFileHeader = &(m_pNTHeader->FileHeader);
m_NumberOfSections.Format(L"%X",m_pFileHeader->NumberOfSections);
m_TimeDateStamp.Format(L"%p", m_pFileHeader->TimeDateStamp);
m_SizeOfOptionalHeader.Format(L"%X", m_pFileHeader->SizeOfOptionalHeader);
//拓展头信息
m_pOptionalHeader = &(m_pNTHeader->OptionalHeader);
m_AddressOfEntryPoint.Format(L"%X",m_pOptionalHeader->AddressOfEntryPoint);
m_SizeOfHeaders.Format(L"%X", m_pOptionalHeader->SizeOfHeaders);
m_ImageBase.Format(L"%X", m_pOptionalHeader->ImageBase);
m_SizeOfImage.Format(L"%X", m_pOptionalHeader->ImageBase);
m_BaseOfCode.Format(L"%X", m_pOptionalHeader->BaseOfCode);
m_DllCharacteristics.Format(L"%X", m_pOptionalHeader->DllCharacteristics);
m_BaseOfData.Format(L"%X", m_pOptionalHeader->BaseOfData);
m_NumberOfRvaAndSizes.Format(L"%X", m_pOptionalHeader->NumberOfRvaAndSizes);
m_SectionAlignment.Format(L"%X", m_pOptionalHeader->SectionAlignment);
m_FileAlignment.Format(L"%X", m_pOptionalHeader->FileAlignment);
m_CheckSum.Format(L"%X", m_pOptionalHeader->CheckSum);
m_Magic.Format(L"%X", m_pOptionalHeader->CheckSum);
m_Subsystem.Format(L"%X", m_pOptionalHeader->Subsystem);

实现的效果如下：

第一部分比较简单，完整代码放到附件。（点击原文链接，即可获取附件）

- End -

原文作者：Jabez

原文链接：https://bbs.pediy.com/thread-247114.htm

转载请注明：转自看雪学院

云棋
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
PE文件架构学习（一）
m0_75243362的博客
03-14 1172
​ PE文件是windows系统中遵循PE结构的文件，比如以.exe .dll .ocx .sys .com为后缀名的文件以及系统驱动文件。（可能是间接被执行的，如DLL）​ 官方解释链接​ 顾名思义，世界上各种东西都有自己特定的结构，最简单和直观理解的例子就是我们自己身体的结构，由一个各个部位和器官关节来组成的，而同样的，PE文件也有着它自己所独特的结构。只有有了特定的结构之后，整个文件才能更加有序和规律地去处理代码以及数据，去执行操作等一系列的过程。
PE文件结构详解
神棍之路
07-20 9798
Windows程序的各种界面称为资源，包括加速键（Accelerator）、位图（Bitmap）、光标（Cursor）、对话框（DialogBox）、图标（Icon）、菜单（Menu）、串表（StringTable）、工具栏（Toolbar）和版本信息（VersionInformation）等。执行PE文件前，加载程序在进行重定位的时候，会用PE文件在内存中的实际映像地址减PE文件所要求的映像地址，根据重定位类型的不同将差值添加到相应的地址数据中。...
PE文件结构详解之头信息解析
最新发布
meis27461的博客
06-03 834
PE文件（Portable Executable File）是Windows上最常见的可执行文件，按文件后缀来说就是.exe.dll文件，还有一些其他的文件，例如.sys系统文件，不过最常见以及常用的就是.exe和.dll，在初学阶段狭义上也可以就把PE文件就理解成.exe和.dll文件。其中的e_magic参数可以用来判断这个文件是不是PE文件。e_lfanew表示的是新的PE头的偏移位置，例如程序的起始地址是0x01，e_lfanew的值是0xF0，那么新的PE头的位置就是0x01+0xF0。
【逆向】PE文件解析
一个努力生活的人的博客
05-11 1430
数据的RVA - 区段地址的RVA = 数据的FOA - 区段地址的FOA = 数据距离区段起始位置有多远，
PE文件解析
qq_38933606的博客
08-10 584
PE文件磁盘分布和解析
PE文件格式（一）
周星星的博客
10-18 8045
PE文件是Windows操作系统下使用的可执行文件文件格式。PE文件是指32位的可执行文件，也叫PE32。64位的可执行文件称为PE+或者PE32+,是PE文件的一种扩展形式（不是PE64）。对应的结构体名字：IMAGE_OPTIONAL_HEADER32 STRUCT由于可选头字段数目多达32个，这里没有对全部字段的定义进行列举，只列举了几个相对重要的一些字段（12个）。所有含代码的节的总大小所有含已初始化数据的节的总大小所有含未初始化数据的节的大小程序执行入口RVA。
PE文件详解01
qq_33168924的博客
11-19 1063
PE文件详解之01 1.PE文件： ​ PE文件是windows平台下的一种可执行的文件格式，包括可执行文件(后缀名exe)，动态链接库(后缀名dll),驱动文件(sys文件)。在进程空间，通常由一个exe(主模块)和其他多个dll模块构成。 2.PE文件的大概组成： ​ PE文件主要由两个部分组成，头部和主体部分。头部有DOS头，NT头，区段头组成，主体由各个区段组成，还有一些调试信息。主体各个...
C++的PE文件操作类
08-01
这些库提供了对PE文件结构的封装，便于开发者进行读写操作。以下是一些关键概念： 1. **DOS头**：PE文件的开头是一个小的DOS头，用于兼容DOS系统，实际上在Windows中并不使用。 2. **NT头**：DOS头后面是NT头，...
PE文件格式详细结构图
06-15
本篇文章将深入解析PE文件的详细结构，帮助你理解这一核心概念。 首先，PE文件的结构基于COFF（Common Object File Format）格式，但在其基础上进行了扩展，以适应Windows系统的需求。PE文件的基本组成部分包括文件...
PE结构详解1
06-19
4. **运行时环境**：PE文件结构还包括了对运行时环境的支持，例如线程局部存储（TLS）目录，用于管理每个线程的私有数据。 **三、PE结构与反汇编** 理解PE结构对于逆向工程和恶意软件分析至关重要。通过反汇编工具...
PE文件结构祥解（配图中文版）
09-25
PE文件结构祥解，配合图片解说，详细介绍PE文件的各结构成分以及各部分意义，学习PE文件结构的优秀入门教材
PE文件结构图,很详细,方便大家下载
08-21
很方便查看的PE文件结构图,看起来很方便 很方便查看的PE文件结构图,看起来很方便
PE文件结构所有结构体图
08-31
完整的PE结构图，包含所有想干结构体，任何底层人员需熟记的结构.....
PE文件节区添加并弹出简单的对话框
05-26
解压并分析这个文件，可以更直观地学习如何操作PE文件结构和调用Windows API。 总之，理解和修改PE文件是一项技术含量较高的任务，需要扎实的编程基础和对Windows操作系统原理的理解。通过熟练掌握这些技能，开发者...
PE文件结构简述
热门推荐
Shanfenglan's blog
08-03 34万+
简述： PE文件结构分为五个部分： DOS文件头 DOS加载模块 PE文件头 区段表 区段 PE文件中显示的所有地址基本都是RVA，倘若想要换算成VA一般需要加上基地址ImageBase与文件偏移地址RVA。 虚拟地址（VA=virtual address）：每个32位PE文件被加载到内存的时候都会被分配4GB的虚拟内存，虚拟地址等于“程序的相对虚拟地址+基地址”。 相对虚拟地址（RVA=relatively virtual address）：相对虚拟地址是相比较于文件开头的地
可执行文件结构：PE文件结构讲解
qq_46145027的博客
05-02 2371
我们使用电脑时肯定会接触各种各样的应用程序，有应用程序就会有对应的可执行文件，比如最常见的.exe文件。事实上，Windows平台下，所有的可执行文件（包括EXE、DLL、SYS、OCX、COM......)使用的都是同一种文件结构，也就是PE（Portable Executable）文件结构。所以说所有可执行文件究其本质都可以叫它PE文件。这里要注意一点：事实上，一个文件是否是PE文件与其扩展名无关，PE文件可以是任何扩展名。 下面就来结合事例详细介绍一下PE文件到底是个什么东西。
windows PE文件结构及其加载机制
liuyez123的博客
04-29 2万+
1. 概述PE文件的全称是Portable Executable，意为可移植的可执行的文件，常见的EXE、DLL、OCX、SYS、COM都是PE文件，PE文件是微软Windows操作系统上的程序文件（可能是间接被执行，如DLL）。它是1993年Windows NT系统引入的新可执行文件格式，到现在已经经过20多年了。虽然使用PE作为可执行文件格式的Windows操作系统已经更换了很多版本，其结构的变
PE格式：手写PE结构解析工具
CSDN
11-15 5448
PE格式是 Windows下最常用的可执行文件格式,理解PE文件格式不仅可以了解操作系统的加载流程,还可以更好的理解操作系统对进程和内存相关的管理知识,而有些技术必须建立在了解PE文件格式的基础上,如文件加密与解密,病毒分析,外挂技术等,在PE文件中我们最需要关注,PE结构,导入表,导出表,重定位表,下面将具体介绍PE的关键结构,并使用C语言编程获取到这些结构数据.
数据结构与算法基础篇
07-29
数据结构与算法是计算机科学和软件工程领域中非常重要的基础知识。数据结构是指组织和存储数据的方式，而算法则是解决问题的一系列步骤。在这里，我将简要介绍数据结构与算法的基础知识。 1. 数组（Array）：是一种线性数据结构，可以存储相同类型的元素。数组的特点是可以通过索引快速访问元素。 2. 链表（Linked List）：也是一种线性数据结构，不同于数组，链表的元素在内存中可以不连续存储，每个元素包含一个指向下一个元素的指针。 3. 栈（Stack）：是一种后进先出（LIFO）的数据结构，只能在栈的一端进行插入和删除操作。 4. 队列（Queue）：是一种先进先出（FIFO）的数据结构，只能在队列的一端进行插入操作，在另一端进行删除操作。 5. 树（Tree）：是一种非线性数据结构，由节点和边组成。树的一个节点可以有多个子节点。 6. 图（Graph）：也是一种非线性数据结构，由节点和边组成。不同于树，图中的节点之间可以有多个连接。 7. 排序算法：常见的排序算法包括冒泡排序、选择排序、插入排序、快速排序、归并排序等，它们用于将一组元素按照特定的顺序进行排列。 8. 查找算法：常见的查找算法包括线性查找、二分查找等，它们用于在一组元素中查找特定的值。 以上只是数据结构与算法的基础知识，还有许多其他重要的概念和算法，如哈希表、堆、图算法等。掌握数据结构与算法的基础知识可以帮助我们更好地理解和解决实际的计算机问题。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值