PE檔案結構（一）

參考

書：《加密與解密》

視訊：小甲魚 解密系列 視訊

        exe，dll都是PE（Portable Execute）檔案結構。PE檔案使用的是一個平面地址空間，所有程式碼和資料都被合併在一起，組成一個很大的結構。先看2張圖，來大概瞭解一下PE檔案結構。

PE檔案的框架結構

通過這張圖（開始在下面），我們可以知道PE檔案的大概結構，PE檔案是由 DOS頭，PE檔案頭，塊表，塊，除錯資訊 這些部分組成的。這些結構的定義在 winnt.h 中的  “Image Format”  這一節中。

PE檔案磁碟與記憶體映像結構圖

通過這張圖我們可以知道PE檔案對映到記憶體中的結構，PE檔案在磁碟中的結構與對映到記憶體中的結構的區別。PE檔案在磁碟中的結構與對映到記憶體中的結構基本相同，基本佈局也相同。DOS頭，PE頭，塊表相對開頭的地址在磁碟跟記憶體中相同。但是因為磁碟對齊跟記憶體對齊不同，還有window可能不會一次性載入完程式，會引起 後面塊項與開頭的偏移地址不同。

PE檔案被window載入到記憶體中後，記憶體中的版本就模組（Module）。對映檔案的起始地址叫做模組控制代碼（hModule），就是圖中基地址（ImageBase）。通過它，可以訪問到模組中的其他結構。

下面就來具體分析PE檔案結構：

MS-DOS頭部

PE檔案第一個位元組起始於一個傳統的MS-DOS頭部，被叫做 IMAGE_DOS_HEADER。

（下面的程式碼，可以在 winnt.h 中找到）

typedef struct _IMAGE_DOS_HEADER {
	WORD e_magic;   //DOS 可執行檔案標記 "MZ"  +0h
	WORD e_cblp;
	WORD e_cp;
	WORD e_crlc;
	WORD e_cparhdr;
	WORD e_minalloc;
	WORD e_maxalloc;
	WORD e_ss;
	WORD e_sp;
	WORD e_csum;
	WORD e_ip;
	WORD e_cs;
	WORD e_lfarlc;
	WORD e_ovno;
	WORD e_res[4];
	WORD e_oemid;
	WORD e_oeminfo;
	WORD e_res2[10];
	LONG e_lfanew;     //指向PE檔案頭，"PE",0,0       +3ch
} IMAGE_DOS_HEADER,*PIMAGE_DOS_HEADER;
 

其中e_magic 和 e_lfanew 比較重要， e_magic  為 "MZ" ，e_lfanew 欄位是真正PE檔案的相對偏移（RVA）。

圖片3

PE檔案頭

接著DOS stub 後是PE檔案頭（PE Header），被叫做 IMAGE_NT_HEADERS

typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature;                         //+0h  PE檔案頭  "PE"
    IMAGE_FILE_HEADER FileHeader;            //+4h
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;  //+18h
} IMAGE_NT_HEADERS32,*PIMAGE_NT_HEADERS32;   
 

IMAGE_FILE_HEADER

IMAGE_FILE_HEADER  映像檔案頭， 包含了PE檔案的一些基本資訊。其中SizeOfOptionalHeader指出了IMAGE_OPTIONAL_HEADE 大小。

typedef struct _IMAGE_FILE_HEADER {
	WORD Machine;                     //+04h 執行平臺
	WORD NumberOfSections;            //+06h 檔案區塊（Section）的數目
 	DWORD TimeDateStamp;              //+08h 檔案的建立時間。這個值是從1970年1月1號以來格林威治時間計算的秒數
	DWORD PointerToSymbolTable;       //+0Ch 指向COFF符號表（用於除錯）
	DWORD NumberOfSymbols;            //+10h 符號表中符號個數（用於除錯）
 	WORD SizeOfOptionalHeader;        //+14h IMAGE_OPTINAL_HEADER結構的大小 32位檔案一般是00E0h，64位檔案一般是00F0h
	WORD Characteristics;             //+16h 檔案屬性，通過幾個值運算得到，這些些標誌定義在winnt.h 中的IMAGE_FILE_xx，exe檔案一般是010fh，dll一般是210Eh
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

圖片4

IMAGE_OPTIONAL_HEADER

IMAGE_OPTIONAL_HEADER 可選映像頭，雖然是一個可選結構，但是事實上IMAGE_FILE_HEADER 不夠用，需要IMAGE_OPTIONAL_HEADER定義更多的資料。

typedef struct _IMAGE_OPTIONAL_HEADER {
	WORD Magic;
	BYTE MajorLinkerVersion;
	BYTE MinorLinkerVersion;
	DWORD SizeOfCode;
	DWORD SizeOfInitializedData;
	DWORD SizeOfUninitializedData;
	DWORD AddressOfEntryPoint;         // +28h 程式執行入口RVA，dll檔案一般為0
	DWORD BaseOfCode;
	DWORD BaseOfData;
	DWORD ImageBase;                   // +34h 程式預設裝入基地址
	DWORD SectionAlignment;            // +38h 記憶體中區塊的對齊值，32位是 1000h（4K）
	DWORD FileAlignment;               // +3Ch 檔案中區塊的對齊值，一般是200h 或者 1000h
	WORD MajorOperatingSystemVersion;
	WORD MinorOperatingSystemVersion;
	WORD MajorImageVersion;
	WORD MinorImageVersion;
	WORD MajorSubsystemVersion;
	WORD MinorSubsystemVersion;
	DWORD Win32VersionValue;
	DWORD SizeOfImage;
	DWORD SizeOfHeaders;
	DWORD CheckSum;
	WORD Subsystem;                    // 標明可執行檔案所希望的子系統（使用者介面型別）的列舉值。即這個程式要不要圖形介面等。
	WORD DllCharacteristics;
	DWORD SizeOfStackReserve;
	DWORD SizeOfStackCommit;
	DWORD SizeOfHeapReserve;
	DWORD SizeOfHeapCommit;
	DWORD LoaderFlags;
	DWORD NumberOfRvaAndSizes;                                              // +74h 資料目錄表的項數 。一直都是16
	IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];   // +78h 資料目錄表。其中有匯入表，到出表，資源表等
} IMAGE_OPTIONAL_HEADER32,*PIMAGE_OPTIONAL_HEADER32;

IMAGE_OPTIONAL_HEADER中的IMAGE_DATA_DIRECTORY是資料目錄表。定義了匯入表，到出表，資源表等的起始RVA與大小。

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;     // 資料快的起始RVA
    DWORD   Size;               // 資料塊的長度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

圖片5 

通過這張圖片我們可以知道，這個程式沒有輸出表，輸入表單其實RVA為543Ch，大小為3Ch。

區塊表

在PE檔案頭與原始資料之間存在一個區塊表。一般PE檔案至少需要 .text 跟 .data區塊。

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];  // 塊名，IMAGE_SIZEOF_SHORT_NAME  為8
    union {
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;            // 實際的區塊大小（即沒有對齊前的區塊大小）
    } Misc;
    DWORD   VirtualAddress;                 // 該塊裝載到記憶體中的RVA。第一個塊預設為1000h
    DWORD   SizeOfRawData;                  // 檔案在磁碟中對齊後的尺寸
    DWORD   PointerToRawData;               // 該區塊在磁碟中的偏移 
    DWORD   PointerToRelocations;
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;               // 區塊的屬性
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;