pe文件中的3处Characteristics

首先：pe文件结构

1、DOS头，对应结构体IMAGE_DOS_HEADER。

2、DOS存根，大小不定，由编译器决定，没有对应的结构体。

3、NT头，对应结构体IMAGE_NT_HEADER，包括3部分定义如下：

typedef struct _IMAGE_NT_HEADERS {
  DWORD                 Signature;
  IMAGE_FILE_HEADER     FileHeader;
  IMAGE_OPTIONAL_HEADER OptionalHeader;
} IMAGE_NT_HEADERS, *PIMAGE_NT_HEADERS;

4、节区头，对应结构体IMAGE_SECTION_HEADER，有多少个节区就有多少个连续的IMAGE_SECTION_HEADER结构体。

5、各个节区。

3处Characteristics分别位于IMAGE_FILE_HEADER、IMAGE_OPTIONAL_HEADER、IMAGE_SECTION_HEADER结构体中

1、IMAGE_FILE_HEADER结构体定义：

typedef struct _IMAGE_FILE_HEADER {
  WORD  Machine;                   // 定义该pe文件运行在那种cpu上
  WORD  NumberOfSections;          // 定义节区头有多少个连续IMAGE_SECTION_HEADER结构体     
  DWORD TimeDateStamp;             // 编译器生成该pe文件的时间  
  DWORD PointerToSymbolTable;
  DWORD NumberOfSymbols;
  WORD  SizeOfOptionalHeader;      // IMAGE_OPTIONAL_HEADER32或者IMAGE_OPTIONAL_HEADER64大小，常用来定位节区头位置
  WORD  Characteristics;           // 用于表示该pe文件属性
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

在WinNT.h中有定义(只列举部分)：

#define IMAGE_FILE_EXECUTABLE_IMAGE          0x0002  // File is executable
#define IMAGE_FILE_SYSTEM                    0x1000  // System File.
#define IMAGE_FILE_DLL                       0x2000  // File is a DLL.
#define IMAGE_FILE_BYTES_REVERSED_HI         0x8000  // Bytes of machine word are reversed.
                                                     // 处理机的高位字节是相反的

有样本中专门检测0x8000，如果没有就申请可读写内存空间，有就申请可执行读写的内存空间，如图：

2、IMAGE_OPTIONAL_HEADER结构体定义

typedef struct _IMAGE_OPTIONAL_HEADER {
  WORD                 Magic;                         // 32位pe文件为0x010B，64位pe文件为0x020B
  BYTE                 MajorLinkerVersion;
  BYTE                 MinorLinkerVersion;
  DWORD                SizeOfCode;
  DWORD                SizeOfInitializedData;
  DWORD                SizeOfUninitializedData;
  DWORD                AddressOfEntryPoint;          // 该pe文件入口点RVA
  DWORD                BaseOfCode;
  DWORD                BaseOfData;
  DWORD                ImageBase;                    // 编译器生成的初始镜像加载地址
  DWORD                SectionAlignment;
  DWORD                FileAlignment;
  WORD                 MajorOperatingSystemVersion;
  WORD                 MinorOperatingSystemVersion;
  WORD                 MajorImageVersion;
  WORD                 MinorImageVersion;
  WORD                 MajorSubsystemVersion;
  WORD                 MinorSubsystemVersion;
  DWORD                Win32VersionValue;
  DWORD                SizeOfImage;                  // 该pe文件对应镜像在内存中总大小，pe加载器根据此处值决定申请连续内存空间大小 
  DWORD                SizeOfHeaders;                // 该pe文件所有头的总长度，dos头+dos存根+NT头+节区表头，用来把"头"从文件到拷贝到镜像长度
  DWORD                CheckSum;                     // 该pe文件校验和 
  WORD                 Subsystem;
  WORD                 DllCharacteristics;           // ?????????????  
  DWORD                SizeOfStackReserve;
  DWORD                SizeOfStackCommit;
  DWORD                SizeOfHeapReserve;
  DWORD                SizeOfHeapCommit;
  DWORD                LoaderFlags;
  DWORD                NumberOfRvaAndSizes;         // 指明DataDirectory数组元素个数，一直是0x00000010
  IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

这里DllCharacteristics，好多书上翻译成DLL何时被调用，这个理解感觉…………

找到宏定义：

#define IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE 0x0040     // DLL can move.

用od调试样本时发现，这里有0x0040标志时，每次重新调试，镜像基址都会变化(ASLR)，把40修改成00，即使有重定位节区，也不会重定位行为，od调试就方便了许多。

DataDirectory数组：

#define IMAGE_DIRECTORY_ENTRY_EXPORT          0   // Export Directory
#define IMAGE_DIRECTORY_ENTRY_IMPORT          1   // Import Directory
#define IMAGE_DIRECTORY_ENTRY_RESOURCE        2   // Resource Directory
#define IMAGE_DIRECTORY_ENTRY_EXCEPTION       3   // Exception Directory
#define IMAGE_DIRECTORY_ENTRY_SECURITY        4   // Security Directory
#define IMAGE_DIRECTORY_ENTRY_BASERELOC       5   // Base Relocation Table
#define IMAGE_DIRECTORY_ENTRY_DEBUG           6   // Debug Directory
#define IMAGE_DIRECTORY_ENTRY_ARCHITECTURE    7   // Architecture Specific Data
#define IMAGE_DIRECTORY_ENTRY_GLOBALPTR       8   // RVA of GP
#define IMAGE_DIRECTORY_ENTRY_TLS             9   // TLS Directory
#define IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG    10   // Load Configuration Directory
#define IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT   11   // Bound Import Directory in headers
#define IMAGE_DIRECTORY_ENTRY_IAT            12   // Import Address Table
#define IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT   13   // Delay Load Import Descriptors
#define IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR 14   // COM Runtime descriptor
                                                  // 最后一个保留，未使用

3、IMAGE_SECTION_HEADER结构体定义：

typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];  // 节区名，最大长度8个字节
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize;            // 该节区在镜像(内存)中的大小
  } Misc;
  DWORD VirtualAddress;           // 该节区在镜像(内存)中的RVA
  DWORD SizeOfRawData;            // 该节区在文件中的大小
  DWORD PointerToRawData;         // 该节区在文件中的偏移
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;          // 该节区属性
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

根据在文件和镜像中的大小和偏移完成从文件到镜像的加载，根据在镜像中位置和大小结合Characteristics值，使用VirtualProtect修改该节区在镜像中的内存属性。

注意：pe文件的节区是多个。

pe文件中的3处Characteristics

猜你喜欢