2. 程式人生 > >PE檔案格式學習（一）：概述

PE檔案格式學習（一）：概述

阿新 • • 發佈：2018-11-08

1.PE檔案簡介

PE檔案格式是Windows系統中應用最廣泛的檔案格式之一,我們常見的可執行檔案.exe、動態連結庫.dll以及驅動檔案.sys等都是PE檔案格式的。

可以通過十六進位制工具如010editor檢視PE檔案，可以看到PE檔案都有一個共同的特點，就是它們的最開頭都是4D5A，也就是ASCII字元MZ。見下圖

PE檔案開頭都是4D5A

在Windows系統“眼裡”，其實只有PE檔案，字尾名只是用於關聯開啟程式，方便將某一類檔案分門別類，我們甚至可以將字尾去掉，一樣不會影響工具對這些檔案的解析。

2.學習PE檔案格式的作用

很顯然，PE檔案作為Windows系統上最常見的檔案格式，是逆向、病毒木馬分析必不可少的基礎知識，PE檔案格式是大多數Windows系統軟體的載體，可以說，深入理解PE檔案是每一個軟體安全工程師都必須達到的標準。

3.學習資源

  • 滴水視訊第三期
  • 《黑客免殺攻防》
  • 《Windows PE權威指南》
  • 《加密與解密》

4.工具

010editor ：十六進位制編輯器，提供了PE檔案格式解析指令碼，可以通過它來對照文章學習。

010editor 9破解版：https://pan.baidu.com/s/16UJp98fTKpz2AASRafGvxA 密碼: x3ek

相關推薦

PE檔案格式學習（一）：概述

1.PE檔案簡介 PE檔案格式是Windows系統中應用最廣泛的檔案格式之一,我們常見的可執行檔案.exe、動態連結庫.dll以及驅動檔案.sys等都是PE檔案格式的。 可以通過十六進位制工具如010editor檢視PE檔案，可以看到PE檔案都有一個共同的特點，就是它們的最開頭都是4D5A，也就是ASCI

PE檔案格式學習（二）：總體結構

1.概述 PE檔案分為幾個部分，分別是： DOS頭 DOS Stub NT頭（PE頭） 檔案頭 可選頭 區段頭（一個數組，每個元素都是一個結構體，稱之為IMAGE_SECTION_HEADER） .text .rdata .data .rs

PE檔案格式學習（三）：匯出表

1.回顧 上篇文章中介紹過，可選頭中的資料目錄表是一個大小為0x10的陣列，匯出表就是這個陣列中的第一個元素。 我們再回顧下資料目錄表的結構體： struct _IMAGE_DATA_DIRECTORY {     DWORD VirtualAddress;    

PE檔案格式學習（十三）：載入配置表

1.介紹 載入配置表早期是用於描述當PE檔案頭或PE可選頭無法描述或者因為太大而無法描述的各種功能。 後來以XP及以後的系統主要是為了儲存SEH控制代碼，稱為安全結構化異常處理程式列表，如果SEH異常處理沒有經過註冊，在載入配置表中沒有控制代碼，這個異常處理就不會被執行。 具體的例子就不演示了，看起來只要是

PE檔案格式學習（八）：基址重定位表

1.簡介 基址重定位表位於資料目錄表中的第六個，它位於安全表的後面。 這個表的作用是用來索引那些需要重定位的資料的。當系統發現DLL的真實載入基址跟PE檔案中的ImageBase中的值不一樣時，就會啟用基址重定位表修復一些資料的地址。我們知道一個程式中可能包含多個DLL，因此有可

PE檔案格式學習（七）：安全表

1.介紹 如果一個應用程式有數字簽名，那麼它的安全表就不會為空。它位於異常表的後面。 2.安全表解析 通過資料目錄表裡提供的RVA，我們轉換成offset，找到了安全表的位置，如下： 安全表的結構體如下： typedef struct _WIN_CERTIFIC

PE檔案格式學習（六）：異常表

1.概述 x86系統採用動態的方式構建SEH結構，相比而言x64系統下采用靜態的方式處理SEH結構，它儲存在PE檔案中，通常在.pdata區段。因此本文的例子採用x64編譯過的程式。 異常表在資源表的後面。 2.異常表解析 資料目錄表的第四個元素指向異常表，RVA指向的是

PE檔案格式學習（五）：資源表

1.概述 程式內部和外部的介面等元素的二進位制資料統稱為資源，程式把它們放在一個特定的表中，符合資料和程式分離的設計原則。 Windows程式中的資源大致分為六類：選單、對話方塊、點陣圖、游標、圖示、自定義資源 資源表是資料目錄表中的第三個元素，排在匯入表的後面。 2.資

PE檔案格式學習（四）：匯入表

UPDATE: 在文章的末尾更新了一張圖，在網上找的，有助於理解匯入表的結構 1.概述 匯入表是逆向和病毒分析中比較重要的一個表，在分析病毒時幾乎第一時間都要看一下程式的匯入表的內容，判斷程式大概用了哪些功能。 匯入表是資料目錄表中的第2個元素，排在匯出表的

PE檔案格式學習（十四）：繫結匯入表

1.介紹 繫結匯入表的作用是加快程式的啟動速度，一個PE程式在啟動時會去載入匯入表中的dll檔案，並將匯入表的FirstThunk指向的陣列填入函式的真實地址，這需要耗去時間，繫結匯入表中儲存了匯入函式的真實地址，所以當PE在啟動時系統檢測到有繫結匯入表，就會直接將地址填入FirstThunk裡，這樣就省去

PE檔案格式學習（十六）：延遲載入表

1.介紹 延遲載入表本質上跟繫結匯入表的目的是一樣的，都是為了加快程式載入檔案的速度，只不過方法不一樣。 延遲載入是指在呼叫某個DLL時才去載入，目的是為了避免在程式啟動之初就載入了不必要的DLL而浪費了時間。微軟建議在兩種情況下使用延遲載入： 程式並非在啟動時就會呼叫D

PE檔案格式學習（十二）：TLS表

1.介紹 TLS全稱執行緒區域性儲存器，它用來儲存變數或回撥函式。 TLS裡面的變數和回撥函式都在程式入口點（AddressOfEntry）之前執行，也就是說程式在被除錯時，還沒有在入口點處斷下來之前，TLS中的變數和回撥函式就已經執行完了，所以TLS可以用作反除錯之類的操作。

Wine中PE格式檔案的載入（一）：Wine初始化過程

首先了解下Wine初始化過程。我們執行”wine WeChat.exe”命令，發生的過程是怎麼樣的？接下來從wine原始碼一步步分析函式呼叫過程。在loader/目錄下的原始碼編譯，由main.c生成了“wine”Linux可執行檔案；preloader.c生成了“pre-l

Python+OGR庫學習（一）：讀取點向量檔案屬性值和座標，並儲存為TXT（一行一個要素值）

程式碼思路： 1、匯入相關庫包，切換到當前資料夾 2、註冊驅動，開啟點向量檔案，獲取圖層 3、開啟待寫入TXT檔案 4、遍歷要素： （1）獲取當前要素‘ID’和‘cover’欄位屬性 （2）獲取當前點要素對應幾何物件和其座標值X,Y （3）將ID、cover、X、Y寫入TXT檔案 （

CSS3總結學習（一）：CSS3用戶界面

interface 繪制 如果 位置 nbsp 瀏覽器 none ble adding 在CSS3中，新的用戶界面屬性有很多，本文重點介紹resize,box-sizing,offset。 瀏覽器支持，如下圖，圖片源於W3school 1.CSS Resizing 在cs

[linux][MongoDB] mongodb學習（一）：MongoDB安裝、管理工具、

ole ont mon mkdir man 管理工具 tar end 認證 參考原文：http://www.cnblogs.com/kaituorensheng/p/5118226.html linux安裝完美實現！ 1. mongoDB安裝、啟動、關閉 　　1.1

Unity3D學習（一）：簡單梳理下Unity跨平臺的機制原理

12px get 一個 bsp 嵌入 ram 屬於 開源 runtime 前言 首先需要了解的是，Unity3D的C#基礎腳本模塊是通過Mono來實現的。 什麽是Mono？ 參考下百度百科：Mono是一個由Novell公司（由Xamarin發起）主持的項目，並由Migu

tp5.0 學習（一）：虛擬環境安裝

安裝php admin cat code logs exe erro ron log 一、文件目錄： application: 應用目錄，開發文件存放地 extend:擴展 public:入口文件 thinkphp：核心代碼 vendor：第三方類庫 二、域名Apache配

canvas學習（一）：線條，圖像變換和狀態保存

itl height tar 默認 class limit 方法 星空 stop canvas學習（一）：線條，圖像變換和狀態保存 一：繪制一條線段： var canvas = document.getElementById(‘canvas‘) var ctx = can

JavaAPI學習（一）：API && String類 && Stringbuffer && StringBuilder

vax 編碼 長度 split() 無敵 esp ogr charat() ble 一、API 　　1、API：英文 Aplication Progrmmer Iteface 的縮寫，即應用編程接口 　　　　由官方或第三方提供的能實現特點功能的程序封裝包，包含各功能類，接口