PE文件格式之win32应用程序初探
汉字最好--2008.1
几年前曾打算学习PE文件格式，但满篇的英语和c语言令人声畏。一直到上个月因为需要才硬着头皮学下来。于是参考了几篇1.9版译文，同时对数个文件反编译、修改，最后自己组装了一个小exe，总算对PE文件有了一个初步的认识。
本文仅仅研究的是win32GUI程序中重要的内容，对dll，驱动，控制台没有涉及，适合最初学的、不懂c语言和英语的学习者学习。
工具：ollice，超级工具，本文用来PE文件在内存中的情况。
Winhex，二进制编辑工具，本文用来查看、编辑、创建PE文件。 Restool，资源工具，本文用来验证资源数据。
以上工具都有前辈的汉化修正版，对不懂鸟语学习者来说是天大的福音。译者易也，我能理解翻译者的难处，给计算机英语取个好中文名有点难度。是他们给我节约了学习一门外语的时间，让我不懂英语一样也学到了知识。
本文中不正确的地方望指正！
一 序言
PE文件是微软弄出来的可执行文件格式。Pe文件中的数据是一节节整齐的排列下去的，所以我们把一节数据称为‘节’。PE文件的第一个节叫头节，但为了与其他节区别开，我把头节还是叫文件头。文件头依次包括dos头、pe头、选项头、节头表四个部分。
执行pe文件实际上是系统的pe载入器把PE文件的各节映射到一个虚拟的进程空间后再执行代码的。这个虚拟的进程空间在32位下有$FFFFFFFF($表示十六进制,相当于c的0x,汇编的H),即4GB大小,即所谓的虚拟内存,里面的地址也就是虚拟地址.这个pe文件在虚拟空间里称为映象文件,映象文件开始的地方叫映象文件基址.而本文后面提到的虚拟地址都是相对虚拟地址,即相对于映象文件基址的偏移量.而pe文件中的偏移量称为物理地址.
本章给出了很多重要定义,有一些和1.9版译文不一样.其实起什么名不重要,重要的是能不能理解.另外,本文中称的’**表’除特别说明外指**的数组.如:节头表,就是节头的数组.
下面用winhex打开附件中的st.exe对照学习.
二 dos头
Pe文件的开始是文件头,文件头的开始是dos头,dos头的开始是’MZ’.如下: 物理地址 0 2 $3C 占用字节 含义 2 58 4 Dos头开始标志 Dos下的东西 PE头的物理地址 常用值 ‘MZ’ 在文件中形式 40 5A Windows下都置0吧 如果后面没有dos根就取$40,否则还要加上dos根大小.下文将这项取值用ppe表示. (数值和字符串在文件中的形式不用我提了吧?)
下面一般有一个dos根结构,是一小段dos程序,对我们初学者没有用,本文就不提了.
三 PE头
PE头是本文的第二部分,共$18字节. 物理地址 Ppe+0 Ppe+4 Ppe+6 Ppe+8 Ppe+$C Ppe+$14 Ppe+$16 占用字节 含义 4 2 2 4 8 2 2 PE头开始的标志 Cpu要求 节数目 日期时间 没什么用 选项头大小 PE属性 常用值 ‘PE’ $14C(386以上) 多半是乱填 都置0 $E0 $10F或$818E,互改了都能运行 在文件中形式 50 45 00 00 4C 01 E0 00 0F 01 后面节头表声明了几个就是几 PE头中最重要的是节数目,其他值都用常用值就可以.
四 选项头
选项头是文件头的第三部分.选项头中的许多选项是告知系统如何在虚拟内存中执行的数据.共$E0字节 物理地址 Ppe+$18 Ppe+$1A Ppe+$1C Ppe+$20 Ppe+$24 Ppe+$28 Ppe+$2C Ppe+$30 Ppe+$34 占用字节 含义 2 2 4 4 4 4 4 4 4 选项头标志 链接器版本号 代码段长度 初始化数据长度 未初始化数据长度 程序入口(OEP),程序开始执行的地方.这是虚拟地址 代码段基址 数据段基址 映象文件基址.改成$200000没影响.改成$100000就与栈冲突了.如果载入这个基址出了问题,系统就会从基址重定位表中找. 节对齐.节被映射到虚拟内存后,占用节对齐的整数倍.如:节有$2400字节,在虚拟内存中占$3000. 文件对齐.节在文件中占用文件对齐的整数倍,不足的补0,包括文件头(头节) 这三项是操作系统及子系统版本号 没用的 $400000 00 00 40 00 常用值 $10B 可随便写 用不上 用不上 可能有用吧 在文件中形式 0B 01 如果加了壳,就是壳的入口 好像用不上 Ppe+$38 4 $1000也就是4KB 00 10 00 00 Ppe+$3C 4 $200也就是512字节 4 4 4 0 00 02 00 00 Ppe+$40 Ppe+$44 Ppe+$48 Ppe+$4C 4 4 4 4 04 00 00 00 04 00 00 00 04 00 00 00 Ppe+$50 4 映象文件大小.是所有节映射到虚拟内存后的大小.别忘了计算文件头和未初始化数据节.文件头一般占一个节对齐,节映射到虚拟内存后是节对齐的整数倍,所以映象文件大小也是节对齐的整数倍. 文件头大小.随便写也没问题 校验和.可能用得上. NT子系统(控制台选3) Dll状态 保留栈 初始栈 保留堆 初始堆 载入风格 数据索引表的索引数 Ppe+$54 Ppe+$58 Ppe+$5C Ppe+$60 Ppe+$64 Ppe+$68 Ppe+$6C Ppe+$70 Ppe+$74 4 4 2 2 4 4 4 4 4 4 $400 0 2 0 1MB 4KB 1MB 4KB 0 16 00 04 00 00 02 00 00 00 00 00 10 00 00 10 00 00 00 00 10 00 00 10 00 00 10 00 00 00 上面共占用$60字节.下面紧跟一个数据索引表,占用$80字节. 数据索引表由16条索引组成,索引的前4字节是某种数据的虚拟地址,后4字节是数据的大小.数据的类型由索引在表中的位置决定,各位置的意义如下: 0:输出表(DLL必用) 4:安全 8;机器值 12:输入地址表 1:输入表 5:基址重定位表 9:线程存储地址(TLS) 13-15未见定义 2:资源数据 6:调试 10:载入配置 3:异常 7:描述文字 11:绑定输入表 St.exe定义了第1,2,12项,没有用到的都置0,
选项头到这里就结束了.其实也只有程序入口,映象文件基址,数据索引表让你斟酌一下,其他都有默认值.
五 节头表
节头表由一串节头组成.每个节头都声明如何把一个节映射到虚拟内存中去.一个节头有$28字节,结构如下: 占用字节 8 4 4 4 4 12 4 常见节属性: 1:代码$00000002 2:已初始化数据$00000004 3:未初始化数据$00000008 含义 节的名称 物理地址或大小 节的虚拟地址 节数据大小 节的物理地址 无用的,都置0 节属性 说明 Asni字符.可不写 既然‘或’了,那随便吧 别定义到已经定义了地方.如$300,显然已经被文件头占有. 注意:肯定是文件对齐的整数倍,即使你的一个节实际使用2个字节也要占一个文件对齐.未初始化数据是文件对齐0倍 是个32位数据,具体查1.9版译文 4:可共享$10000000 7:可写$80000000 5:可执行$20000000 6:可读$40000000 $60000020 1 和 5 和 6 (算术或运算) 通常是代码段 $C0000040 2 和 6 和 7 通常是输入表 $40000040 2 和 6 通常是资源数据 我们一起看st.exe,红色标记虚拟地址:
00000060 00 00 00 00 00 00 00 00 30 10 00 00 00 00 00 00 ........0....... 00000070 00 00 00 00 00 00 40 00 00 10 00 00 00 02 00 00 ......@......... $6C处是入口=$1030,$70处是映象文件基址=$400000.
00000130 2E 74 65 78 74 00 00 00 .text... 00000140 00 01 00 00 00 10 00 00 00 02 00 00 00 02 00 00 ................ 00000150 00 00 00 00 00 00 00 00 00 00 00 00 20 00 00 60 ............ ..` 00000160 2E 72 64 61 74 61 00 00 6A 01 00 00 00 20 00 00 .rdata..j.... .. 00000170 00 02 00 00 00 04 00 00 00 00 00 00 00 00 00 00 ................
00000180 00 00 00 00 40 00 00 40 2E 64 61 74 61 00 00 00 ....@..@.data... 00000190 04 00 00 00 00 30 00 00 00 00 00 00 00 00 00 00 .....0.......... 000001A0 00 00 00 00 00 00 00 00 00 00 00 00 40 00 00 C0 ............@..? 000001B0 2E 72 73 72 63 00 00 00 60 02 00 00 00 40 00 00 .rsrc...`....@.. 000001C0 00 04 00 00 00 06 00 00 00 00 00 00 00 00 00 00 ................ 000001D0 00 00 00 00 40 00 00 40 ....@..@ 上面就是节头表, 名称 .text .rdata .data .rsrc 虚拟地址 $1000 $2000 $3000 $4000 大小 $200 $200 $0 $400 物理地址 $200 $400 0 $600 属性 $60000020 $40000040 $400000C0 $40000040 看这些节都没有超过节对齐,所以都只占一个节对齐..data只是预定了空间,适合变量用. 虚拟地址转物理地址:
我们看程序入口正好落到了.text节的+$30($1030-$1000)处,来到$200+$30: Offset 0 1 2 3 4 5 6 7 8 9 A B C D E F
00000230 6A 00 E8 35 01 00 00 A3 00 30 40 00 E8 4F 01 00 j.?...?0@.鐿.. 00000240 00 6A 00 68 5E 10 40 00 6A 00 6A 65 FF 35 00 30 .j.h^.@.j.je�5.0 可在OLLICE中查看此处代码含义（$00401030）.
在节头表部分,每个节头的虚拟地址,大小，物理地址,属性都要仔细设定.
文件头到这里就结束了,不足文件对齐整数倍的要补足0.文件后面紧跟节头表定义的各种节. 当然后面也可能只有一个节.
六 输入表
输入表在虚拟内存中的地址和大小由选项头的数据索引表中第二条索引指定.输入表有点回调函数的味道,是给系统调用的.通过输入表,系统了解程序需要哪些动态库的函数,在加载PE文件时把这些动态库也映射到进程虚拟空间,并把这些函数的地址写到程序指定的地方供调用.
输入表实际上是一个‘输入说明结构’的数组.该数组的最后一个成员置0以表结束. 一个输入说明结构由5个双字组成,占用20字节,对应一个动态库.如下: 1 2 3 4 5 占用字节 名称 4 4 4 4 4 地址一 时间戳 中转链 地址二 含义 指向函数索引地址表的地址 用于验证dll或绑定输入 指向地址表的指针.这个地址表可能与其他输入说明结构指向的地址表组成一个连续的输入地址表.(见数据索引表) 动态库名 指向动态库名的指针(即Pchar或char*),动态库名是标准字符串 标准字符串指以空字符结束的ansi字符串. 上述结构中第2,3项没有找到实例所以跳过,呵呵. 动态库名也好理解，关键是第1,5项.地址一是个指针,指向函数索引地址表.这个表里都是函数索引的地址,以空地址(0)表示结束.函数索引由一个2个字节的索引号和进跟其后的一个标准字符串(即函数名)组成.
系统的工作就是首先获得动态库名,然后顺着地址一找到函数索引地址表,再一条条地读函数索引,将找到的函数的地址依次写到地址二指定的地址表中,直到读到空地址,再读取下一条输入说明结构,直到为0.
有点难于理解?再次用winhex和ollice打开st.exe:
000000C0 30 20 00 00 50 00 00 00 00 40 00 00 60 02 00 00 0 ..P....@..`...
来到$C0处,输入表的虚拟地址是$2030,大小$50.换成物理地址在$430,在.rdata节中. 来到$430处,可以读倒条输入说明结构:
00000430 88 20 00 00 00 00 00 00 00 00 00 00 F2 20 00 00 ?..........?.. 00000440 08 20 00 00 9C 20 00 00 00 00 00 00 00 00 00 00 . ..?.......... 00000450 3A 21 00 00 1C 20 00 00 80 20 00 00 00 00 00 00 :!... ..� ...... 00000460 00 00 00 00 5C 21 00 00 00 20 00 00 00 00 00 00 ....\\!... ...... 00000470 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 上面都是虚拟地址,转成物理地址时-$2000+$400.
以第一条为例,地址一为$2088->$488,地址二为$2008->$408,动态库名为$20F2->$4F2. 000004F0 00 00 6B 65 72 6E 65 6C 33 32 2E 64 6C 6C 00 00 ..kernel32.dll.. $4F2原来是kernel32.dll. $488处:
00000480 E2 20 00 00 CE 20 00 00 ?..?.. 00000490 BE 20 00 00 B0 20 00 00 00 00 00 00 ?..?...... 有四个地址,也就是说有四个函数.来到$4E2($2012):
000004E0 00 00 3C 02 53 65 74 4C 61 73 74 45 72 72 6F 72 ..<.SetLastError 000004F0 00 00 .. 找到了一个函数,其它的就这么找.
在地址二指向的$408好像看不到什么,到OLLICE中,点’M’图标,,在列表中双击
输入表项(Memory map, 条目 21),在弹出的窗口中看$400000+$2008处已经写入了函数地址,红色字体表示是载入时写入的.
多数情况下程序并不是直接CALL这个地址,而是先CALL一个跳转表,然后JMP到这里: 00401030 >/$ 6A 00 push 0 ; /pModule = NULL 00401032 |. E8 35010000 call
PE文件格式之win32应用程序初探
