2. 程式人生 > >PE檔案格式學習（十三）：載入配置表

PE檔案格式學習（十三）：載入配置表

阿新 • • 發佈：2018-11-08

1.介紹

載入配置表早期是用於描述當PE檔案頭或PE可選頭無法描述或者因為太大而無法描述的各種功能。
後來以XP及以後的系統主要是為了儲存SEH控制代碼，稱為安全結構化異常處理程式列表，如果SEH異常處理沒有經過註冊，在載入配置表中沒有控制代碼，這個異常處理就不會被執行。
具體的例子就不演示了，看起來只要是正規編寫的程式都會在表中註冊，因此都可以執行。
據微軟官方說明，這個載入配置表的作用是為了防止“x86異常處理程式劫持”的漏洞。因為年代久遠就無從考據了。

2.欄位解析

image.png

offset Size Field Description
0  4  Characteristics  屬性，當前沒使用
4  4  TimeDateStamp  時間 
8  2  MajorVersion  主版本號
10  2  MinorVersion  子版本號
12  4  GlobalFlagsClear  啟動時清除全域性標誌
16  4  GlobalFlagsSet  啟動是設定全域性標誌
20  4  CriticalSectionDefaultTimeout  程式關鍵部分預設超時值
24  4/8  DeCommitFreeBlockThreshold  返回系統前必須釋放的記憶體，以位元組為單位
28/32  4/8  DeCommitTotalFreeThreshold  總共釋放的記憶體
32/40  4/8  LockPrefixTable  預加鎖表
36/48  4/8  MaximumAllocationSize  最大配置體積
40/56  4/8  VirtualMemoryThreshold  最大虛擬記憶體尺寸
44/64  4/8  ProcessAffinityMask  程序內部掩碼
48/72  4  ProcessHeapFlags  程序堆疊標誌
52/76  2  CSDVersion  CSD版本
54/78  2  Reserved  保留，必須為0
56/80  4/8  EditList  保留
60/88  4/8  SecurityCookie  指向VisualC++或GS實現的Cookie指標
64/96  4/8  SEHandlerTable  SEH控制代碼列表
68/104  4/8  SEHandlerCount  SEH數
72/112  4/8  GuardCFCheckFunctionPointer  儲存Control Flow Guard檢查功能指標的VA。
76/120  4/8  GuardCFDispatchFunctionPointer 儲存Control Flow Guard排程功能指標的VA。
80/128  4/8  GuardCFFunctionTable  影象中每個Control Flow Guard功能的RVA排序表的VA。
84/136  4/8  GuardCFFunctionCount  上表中唯一的RVA數量。
88/144  4  GuardFlags  Control Flow Guard相關標誌。 
92/148  12  CodeIntegrity  程式碼完整性資訊。
104/160 4/8  GuardAddressTakenIatEntryTable  儲存控制流保護地址採用IAT表的VA。
108/168 4/8  GuardAddressTakenIatEntryCount 上表中唯一的RVA數量。
112/176 4/8  GuardLongJumpTargetTable  儲存Control Flow Guard跳遠目標表的VA。
116/184 4/8  GuardLongJumpTargetCount  上表中唯一的RVA數量。 

GuardFlags欄位包含以下一個或多個標誌和子欄位的組合：

  • 模組使用系統提供的支援執行控制流完整性檢查.#define IMAGE_GUARD_CF_INSTRUMENTED 0x00000100
  • 模組執行控制流程並寫入完整性檢查.#define IMAGE_GUARD_CFW_INSTRUMENTED 0x00000200
  • 模組包含有效的控制流目標元資料.#define IMAGE_GUARD_CF_FUNCTION_TABLE_PRESENT 0x00000400
  • 模組不使用/ GS安全cookie.#define IMAGE_GUARD_SECURITY_COOKIE_UNUSED 0x00000800
  • 模組支援只讀延遲載入IAT.#define IMAGE_GUARD_PROTECT_DELAYLOAD_IAT 0x00001000
  • 延遲載入匯入表在其自己的.didat部分（其中沒有其他內容）可以自由重新保護.#define IMAGE_GUARD_DELAYLOAD_IAT_IN_ITS_OWN_SECTION 0x00002000
  • 模組包含抑制的匯出資訊。這也推斷出IAT表所採用的地址也存在於載入配置中.#define IMAGE_GUARD_CF_EXPORT_SUPPRESSION_INFO_PRESENT 0x00004000
  • 模組可以抑制匯出.#define IMAGE_GUARD_CF_ENABLE_EXPORT_SUPPRESSION 0x00008000
  • 模組包含長跳轉目標資訊.#define IMAGE_GUARD_CF_LONGJUMP_TABLE_PRESENT 0x00010000
  • 包含Control Flow Guard功能表條目步長的子欄位的掩碼（即每個表條目的附加位元組數）.#define IMAGE_GUARD_CF_FUNCTION_TABLE_SIZE_MASK 0xF0000000

此外，Windows SDK winnt.h標頭定義此巨集用於右移GuardFlags值以右對齊Control Flow Guard功能表步長的位數:

#define IMAGE_GUARD_CF_FUNCTION_TABLE_SIZE_SHIFT 28

相關推薦

PE檔案格式學習（十三）：載入配置表

1.介紹 載入配置表早期是用於描述當PE檔案頭或PE可選頭無法描述或者因為太大而無法描述的各種功能。 後來以XP及以後的系統主要是為了儲存SEH控制代碼，稱為安全結構化異常處理程式列表，如果SEH異常處理沒有經過註冊，在載入配置表中沒有控制代碼，這個異常處理就不會被執行。 具體的例子就不演示了，看起來只要是

PE檔案格式學習（二）：總體結構

1.概述 PE檔案分為幾個部分，分別是： DOS頭 DOS Stub NT頭（PE頭） 檔案頭 可選頭 區段頭（一個數組，每個元素都是一個結構體，稱之為IMAGE_SECTION_HEADER） .text .rdata .data .rs

PE檔案格式學習（三）：匯出表

1.回顧 上篇文章中介紹過，可選頭中的資料目錄表是一個大小為0x10的陣列，匯出表就是這個陣列中的第一個元素。 我們再回顧下資料目錄表的結構體： struct _IMAGE_DATA_DIRECTORY {     DWORD VirtualAddress;    

PE檔案格式學習（一）：概述

1.PE檔案簡介 PE檔案格式是Windows系統中應用最廣泛的檔案格式之一,我們常見的可執行檔案.exe、動態連結庫.dll以及驅動檔案.sys等都是PE檔案格式的。 可以通過十六進位制工具如010editor檢視PE檔案，可以看到PE檔案都有一個共同的特點，就是它們的最開頭都是4D5A，也就是ASCI

PE檔案格式學習（八）：基址重定位表

1.簡介 基址重定位表位於資料目錄表中的第六個，它位於安全表的後面。 這個表的作用是用來索引那些需要重定位的資料的。當系統發現DLL的真實載入基址跟PE檔案中的ImageBase中的值不一樣時，就會啟用基址重定位表修復一些資料的地址。我們知道一個程式中可能包含多個DLL，因此有可

PE檔案格式學習（七）：安全表

1.介紹 如果一個應用程式有數字簽名，那麼它的安全表就不會為空。它位於異常表的後面。 2.安全表解析 通過資料目錄表裡提供的RVA，我們轉換成offset，找到了安全表的位置，如下： 安全表的結構體如下： typedef struct _WIN_CERTIFIC

PE檔案格式學習（六）：異常表

1.概述 x86系統採用動態的方式構建SEH結構，相比而言x64系統下采用靜態的方式處理SEH結構，它儲存在PE檔案中，通常在.pdata區段。因此本文的例子採用x64編譯過的程式。 異常表在資源表的後面。 2.異常表解析 資料目錄表的第四個元素指向異常表，RVA指向的是

PE檔案格式學習（五）：資源表

1.概述 程式內部和外部的介面等元素的二進位制資料統稱為資源，程式把它們放在一個特定的表中，符合資料和程式分離的設計原則。 Windows程式中的資源大致分為六類：選單、對話方塊、點陣圖、游標、圖示、自定義資源 資源表是資料目錄表中的第三個元素，排在匯入表的後面。 2.資

PE檔案格式學習（四）：匯入表

UPDATE: 在文章的末尾更新了一張圖，在網上找的，有助於理解匯入表的結構 1.概述 匯入表是逆向和病毒分析中比較重要的一個表，在分析病毒時幾乎第一時間都要看一下程式的匯入表的內容，判斷程式大概用了哪些功能。 匯入表是資料目錄表中的第2個元素，排在匯出表的

webpack學習（十三）：react配置熱替換

demo地址: https://github.com/Lkkkkkkg/webpack-demo 繼上一次配置完多頁面提取公共部分js&css: https://blog.csdn.net/qq593249106/article/details/84937856 使用 RectH

PE檔案格式學習（十四）：繫結匯入表

1.介紹 繫結匯入表的作用是加快程式的啟動速度，一個PE程式在啟動時會去載入匯入表中的dll檔案，並將匯入表的FirstThunk指向的陣列填入函式的真實地址，這需要耗去時間，繫結匯入表中儲存了匯入函式的真實地址，所以當PE在啟動時系統檢測到有繫結匯入表，就會直接將地址填入FirstThunk裡，這樣就省去

PE檔案格式學習（十六）：延遲載入表

1.介紹 延遲載入表本質上跟繫結匯入表的目的是一樣的，都是為了加快程式載入檔案的速度，只不過方法不一樣。 延遲載入是指在呼叫某個DLL時才去載入，目的是為了避免在程式啟動之初就載入了不必要的DLL而浪費了時間。微軟建議在兩種情況下使用延遲載入： 程式並非在啟動時就會呼叫D

PE檔案格式學習（十二）：TLS表

1.介紹 TLS全稱執行緒區域性儲存器，它用來儲存變數或回撥函式。 TLS裡面的變數和回撥函式都在程式入口點（AddressOfEntry）之前執行，也就是說程式在被除錯時，還沒有在入口點處斷下來之前，TLS中的變數和回撥函式就已經執行完了，所以TLS可以用作反除錯之類的操作。

ionic學習（十三）：ionic跳轉到外部連結url

外掛地址：https://ionicframework.com/docs/native/in-app-browser/ 使用方法： 1.新增外掛： ionic cordova plugin add cordova-plugin-inappbrowser npm install --sav

opencv學習（十三）：影象直方圖

一、安裝matplotlib 在cmd環境下，按照自己安裝的python位置進入Scripts目錄下，輸入命令：pip install matplotlib 二、 繪出圖片的直方圖 程式碼如下： #匯入cv模組 import cv2 as cv import nump

機器學習（十三）：CS229ML課程筆記（9）——因子分析、主成分分析（PCA）、獨立成分分析（ICA）

1.因子分析：高維樣本點實際上是由低維樣本點經過高斯分佈、線性變換、誤差擾動生成的，因子分析是一種資料簡化技術，是一種資料的降維方法，可以從原始高維資料中，挖掘出仍然能表現眾多原始變數主要資訊的低維資料。是基於一種概率模型，使用EM演算法來估計引數。因子分析，是分析屬性們的公

webpack學習（一）：初步配置webpack

demo地址: https://github.com/Lkkkkkkg/webpack-demo 全域性安裝 npm install --global webpack // --global代表全域性安裝 本地安裝 對於大多數專案, 我們建議本地安裝, 這可以使我們在引入破

Spring 學習（十三）——通過註解配置 Bean

在 classpath 中掃描元件 •元件掃描(component scanning):  Spring 能夠從 classpath 下自動掃描, 偵測和例項化具有特定註解的元件. •特定元件包括: –@Component: 基本註解, 標識了一個受 Spring 管理的元件

OpenFace學習（1）：安裝配置及人臉比對

前言 前幾天在網上看到了openface（連結），覺得挺有趣就下載配置了一下，稍微修改了一下跑了個demo，效果還是很不錯的。這裡分享下安裝配置的過程以及demo。 簡介 環境搭建 我只是在筆記本上搭建了環境所以涉及到GPU的CUDA驅動的部

Spring4學習（三）：註解配置bean

一、註解基礎 1、元件掃描(component scanning) Spring能夠從classpath下自動掃描，偵測和例項化具有特定註解的元件 2、特定元件包括 - @Component 基本註解，標示一個受spring管理的元件 - @Respository 標識持久