逆向工程基础：从PE文件到进程地址空间

范蠡

发布于 2021-01-04 11:21:31

1.2K00

代码可运行

文章被收录于专栏：高性能服务器开发高性能服务器开发

运行总次数：0

代码可运行

计算机鼻祖——图灵机

所谓的图灵机就是指一个抽象的机器，它有一条无限长的纸带，纸带分成了一个一个的小方格，每个方格有不同的颜色。有一个机器头在纸带上移来移去。机器头有一组内部状态，还有一些固定的程序。在每个时刻，机器头都要从当前纸带上读入一个方格信息，然后结合自己的内部状态查找程序表，根据程序输出信息到纸带方格上，并转换自己的内部状态，然后进行移动。 ——摘自百度百科

编程语言是一组描述计算机，更准确的说是描述CPU如何执行指令的语法规则。

对于确定的处理器，它能执行的指令是确定的，这就是CPU的指令集。CPU的指令集是机器码，于是人们为了容易编程，发明了使用助记符的汇编语言。后来，又出现了高级语言。高级语言只是用人更容易理解的语法来描述了这些指令的组织规则，而最终翻译成机器指令则是由编译器来完成的。

不同的编程语言使用了不同的描述规则，这就如同各个不同国家用不同的语言说“你好”，虽然表达各异，但最终说的是同一个意思。

程序的两大组件

指令
数据

PE文件完成的任务就是:

用一套数据结构来组织编程语言编译后的指令和数据。因此，PE文件最重要的就是指令和数据的组织方法了。当然，除了指令和数据，还涉及操作系统的相关内容，比如资源等。

什么是PE文件?

全称Portable Execute —— 可移植的执行体，是 windows平台组织程序代码的一种文件格式。常⻅的exe、dll、sys、 ocx、com都属于PE文件。

学习PE文件，是深入windows机制的重要一步，也是逆向工程基础课程。

PE文件分为以下四大块，依次是:

DOS实模式残留数据
NT文件头
节表
节内容

一、DOS实模式残留数据

在Windows NT之前的Windows系统是基于dos操作系统内核，为了兼容dos系统上可执行文件，Windows NT在设计可执行文件格式时保留兼容了之前的格式。

PE文件中的DOS实模式残留数据包括两部分: DOS头 + DOS Stub，如下图所示:

DOS头的数据结构是这样的：

typedef struct _IMAGE_DOS_HEADER {
  WORD e_magic; //”MZ”
  WORD e_cblp;
  WORD e_cp;
  WORD e_crlc;
  WORD e_cparhdr;
  WORD e_minalloc; 
  WORD e_maxalloc; 
  WORD e_ss;
  WORD e_sp;
  WORD e_csum; WORD e_ip;
  WORD e_cs;
  ......
  LONG e_lfanew;
} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

重点关注的是最后一个字段，有时称为3C字段，它指示了windows NT PE文件头的偏移位置。

Dos Stub是一段16位的程序，反汇编如下:

这一段16位汇编程序：调用21号中断的9号功能:向屏幕输出一个字符串“this ...”，然后调用4C号功能退出程序。

二、NT文件头

前面提到: DOS头的最后一个字段指示了NT头的位置。

NT头分为三个部分:

typedef struct _IMAGE_NT_HEADERS{
  DWORD Signature;
  IMAGE_FILE_HEADER FileHeader;
  IMAGE_OPTIONAL_HEADER OptionalHeader;
}IMAGE_NT_HEADERS, *PIMAGE_NT_HEADERS;

第一部分是一个PE标识符，长度4个字节：

第二部分数据包含了PE文件的一些最基本的信息，其结构如下：

typedef struct _IMAGE_FILE_HEADER {
  WORD  Machine;         //运行平台
  WORD  NumberOfSections;  //节数目
  DWORD TimeDateStamp;   //文件创建时间
  DWORD PointerToSymbolTable; //指向符号表指针
  DWORD NumberOfSymbols;  //符号数目
  WORD  SizeOfOptionalHeader; //可选头长度
  WORD  Characteristics;  //文件属性
}IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

第三部分，叫可选头，虽然名为可选头，但这个结构是整个PE文件中占重要地位，记录的PE文件的代码执行入口、运行平台、堆栈属性等等信息，绝对不能没有（以下为节选部分字段）

typedef struct _IMAGE_OPTIONAL_HEADER {
  WORD  Magic;
  DWORD AddressOfEntryPoint;  // 代码执行入口
  DWORD BaseOfCode;
  DWORD BaseOfData;
  DWORD ImageBase;        // 加载基地址
  DWORD SectionAlignment;
  DWORD FileAlignment;
  WORD  Subsystem;
  WORD  DllCharacteristics;
  DWORD SizeOfStackReserve;
  DWORD SizeOfStackCommit;
  DWORD SizeOfHeapReserve;
  DWORD SizeOfHeapCommit;
  IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
}IMAGE_OPTIONAL_HEADER, *PIMAGE_OPTIONAL_HEADER;

可选头的最后一个字段是一个数组，名叫数据目录。数组大小是一个宏定义，其值为16:

#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES 16
typedef struct _IMAGE_DATA_DIRECTORY {
 DWORD VirtualAddress; //RVA
 DWORD Size;   //大小
} IMAGE_DATA_DIRECTORY,  *PIMAGE_DATA_DIRECTORY;

这16个数据目录项的内容分别是：

三、节表

在NT文件头之后，就是节表信息了：

typedef struct _IMAGE_SECTION_HEADER {
  BYTE Name[IMAGE_SIZEOF_SHORT_NAME]; //节名字
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize;
  } Misc;
  DWORD VirtualAddress;
  DWORD SizeOfRawData;
  DWORD PointerToRawData;
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;
}IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

每个节表项占据40个字节，该结构体的数量在PE文件头的NumberOfSections指定。每一个结构体描述了PE文件中的一个节的信息。