搜索

[22012] 2021-05-26_网络安全编程：PE文件结构概述

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-26_网络安全编程：PE文件结构概述 网 络 安 全 编 程 ： P E 文 件 结 构 概 述 L e m o n S e c   2 0 2 1 - 0 5 - 2 6 P E 结 构 是 W i n d o w s 下 可 执 行 文 件 的 标 准 结 构 ， 可 执 行 文 件 的 装 载 、 内 存 分 布 、 执 行 等 都 依 赖 于 P E 结 构 ， 而 在 逆 向 分 析 软 件 时 ， 为 了 有 目 的 、 更 高 效 地 了 解 程 序 ， 必 须 掌 握 P E 结 构 。 P E （ P o r t a b l e   E x e c u t a b l e ） ， 即 可 移 植 的 执 行 体 。 在 W i n d o w s 平 台 （ 包 括 W i n   9 x 、 W i n   N T 、 W i n   C E … … ） 下 ， 所 有 的 可 执 行 文 件 （ 包 括 E X E 文 件 、 D L L 文 件 、 S Y S 文 件 、 O C X 文 件 、 C O M 文 件 … … ） 均 使 用 P E 文 件 结 构 。 这 些 使 用 P E 文 件 结 构 的 可 执 行 文 件 也 称 为 P E 文 件 。 普 通 的 程 序 员 也 许 没 有 必 要 掌 握 P E 文 件 结 构 ， 因 为 其 大 多 是 开 发 服 务 性 、 决 策 性 、 辅 助 性 的 软 件 ， 比 如 M I S 、 H I S 、 C R M 等 软 件 。 但 是 对 于 学 习 黑 客 编 程 和 学 习 安 全 编 程 的 H a c k e r 、 C r a c k e r 和 P r o g r a m m e r 的 人 而 言 ， 掌 握 P E 文 件 结 构 的 知 识 就 非 常 重 要 了 。 1 .   P E 文 件 结 构 全 貌 文 件 结 构 全 貌 W i n d o w s 系 统 下 的 可 执 行 文 件 中 包 含 着 各 种 数 据 ， 包 括 代 码 、 数 据 、 资 源 等 。 虽 然 W i n d o w s 系 统 下 的 可 执 行 文 件 中 包 含 着 如 此 众 多 类 型 的 数 据 ， 但 是 其 存 放 都 是 有 序 、 结 构 化 的 ， 这 完 全 依 赖 于 P E 文 件 结 构 对 各 种 数 据 的 管 理 。 同 样 ， P E 结 构 是 由 若 干 个 复 杂 的 结 构 体 组 合 而 成 的 ， 不 是 单 单 的 一 个 结 构 体 那 么 简 单 ， 它 的 结 构 就 像 文 件 系 统 的 结 构 是 由 多 个 结 构 体 组 成 的 。 P E 结 构 包 含 的 结 构 体 有 D O S 头 、 P E 标 识 、 文 件 头 、 可 选 头 、 目 录 结 构 、 节 表 等 。 要 掌 握 P E 结 构 必 须 对 P E 结 构 有 一 个 整 体 上 的 认 识 ， 要 知 道 P E 结 构 分 为 哪 些 部 分 ， 这 些 部 分 大 概 是 起 什 么 作 用 的 。 有 了 宏 观 上 的 概 念 以 后 ， 就 可 以 深 入 地 对 P E 结 构 的 各 个 结 构 体 进 行 细 致 的 学 习 了 。 下 面 给 出 一 张 图 ， 让 大 家 对 P E 结 构 有 个 大 概 的 了 解 ， 如 图 1 所 示 。
图 1     P E 结 构 总 览 图 从 图 1 中 可 以 看 出 ， P E 结 构 分 为 4 大 部 分 ， 其 中 每 个 部 分 又 进 行 了 细 分 ， 存 在 若 干 个 小 的 部 分 。 从 数 据 管 理 的 角 度 来 看 ， 可 以 把 P E 文 件 大 致 分 为 两 部 分 ， D O S 头 、 P E 头 和 节 表 属 于 P E 文 件 的 数 据 管 理 结 构 或 数 据 组 织 结 构 部 分 ， 而 节 表 数 据 才 是 P E 文 件 真 正 的 数 据 部 分 ， 其 中 包 含 着 代 码 、 数 据 、 资 源 等 内 容 。 在 进 行 逆 向 分 析 时 ， 是 对 其 代 码 、 数 据 、 资 源 等 具 体 数 据 进 行 分 析 ， 也 就 是 图 1 的 “ 节 表 数 据 ” 部 分 。 程 序 在 内 存 中 或 文 件 中 的 组 织 结 构 是 如 何 规 划 的 ， 并 没 有 去 具 体 了 解 ， 而 这 部 分 内 容 正 是 图 1 的 上 面 3 部 分 内 容 。 2 .   P E 结 构 各 部 分 简 介 结 构 各 部 分 简 介 根 据 图 1 给 出 的 P E 结 构 总 览 图 先 来 大 致 了 解 一 下 每 部 分 的 作 用 。 （ （ 1 ） ） D O S 头 头
D O S 头 分 为 两 部 分 ， 分 别 是 “ M Z 头 部 ” 和 “ D O S 存 根 ” 。 M Z 头 部 是 真 正 的 D O S 头 部 ， 由 于 其 开 始 处 的 两 个 字 节 为 “ M Z ” ， 因 此 D O S 头 也 可 以 叫 作 M Z 头 。 该 部 分 用 于 程 序 在 D O S 系 统 下 加 载 ， 它 的 结 构 被 定 义 为 I M A G E _ D O S _ H E A D E R 。 D O S 残 留 是 一 段 简 单 的 程 序 ， 主 要 用 于 输 出 “ T h i s   p r o g r a m   c a n n o t   b e   r u n   i n   D O S   m o d e . ” 类 似 的 提 示 字 符 串 。 为 什 么 P E 结 构 的 最 开 始 位 置 有 这 样 一 段 D O S 头 部 呢 ？ 关 键 是 为 了 该 可 执 行 程 序 可 以 兼 容 D O S 系 统 。 通 常 情 况 下 ， W i n 3 2 下 的 P E 程 序 不 能 在 D O S 下 运 行 ， 因 此 保 留 了 这 样 一 个 简 单 的 D O S 程 序 用 于 提 示 “ 不 能 运 行 于 D O S 模 式 下 ” 。 （ （ 2 ） ） P E 头 头 P E 头 部 保 存 着 W i n d o w s 系 统 加 载 可 执 行 文 件 的 重 要 信 息 。 P E 头 部 由 I M A G E _   N T _ H E A D E R S 定 义 。 从 该 结 构 体 的 定 义 名 称 可 以 看 出 ， I M A G E _ N T _ H E A D E R S 由 多 个 结 构 体 组 合 而 成 ， 包 括 I M A G E _ N T _ S I G N A T R U E 、 I M A G E _ F I L E _ H E A D E R 和 I M A G E _ O P T I O   N A L _ H E A D E R 三 部 分 。 P E 头 部 在 P E 文 件 中 的 位 置 不 是 固 定 不 变 的 ， P E 头 部 的 位 置 由 D O S 头 部 的 某 个 字 段 给 出 。 （ （ 3 ） 节 表 ） 节 表 程 序 的 组 织 按 照 各 属 性 的 不 同 而 被 保 存 在 不 同 的 节 中 ， 在 P E 头 部 之 后 就 是 一 个 数 组 结 构 的 节 表 。 描 述 节 表 的 结 构 体 是 I M A G E _ S E C T I O N _ H E A D E R ， 如 果 P E 文 件 中 有 N 个 节 ， 那 么 节 表 就 是 由 N 个 I M A G E _ S E C T I O N _ H E A D E R 组 成 的 数 组 。 节 表 中 存 储 了 各 个 节 的 属 性 、 文 件 位 置 、 内 存 位 置 等 相 关 的 信 息 。 （ （ 4 ） 节 表 数 据 ） 节 表 数 据 P E 文 件 的 真 正 程 序 部 分 就 保 存 在 节 数 据 中 。 在 P E 结 构 中 ， 有 几 个 节 表 ， 就 对 应 有 几 个 节 表 的 数 据 。 根 据 节 表 的 属 性 、 地 址 等 信 息 ， 程 序 的 数 据 就 分 布 在 节 表 指 定 的 位 置 中 。 参 考 文 献 ： C + +   黑 客 编 程 揭 秘 与 防 范 （ 第 3 版 ） 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ”
扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理