第2章预备知识-3.ppt

简介简介u在在DOS环境下有四种基本的可执行文件格式环境下有四种基本的可执行文件格式8批处理文件，以批处理文件，以.BAT结尾的文件结尾的文件8设备驱动文件，是以设备驱动文件，是以.SYS结尾的文件，如结尾的文件，如CONFIG.SYS8COM文件，是以文件，是以.COM结尾的纯代码文件结尾的纯代码文件没有文件头部分，缺省情况下总是从没有文件头部分，缺省情况下总是从0 x100H处开始执行，处开始执行，没有重定位项，所有代码和数据必须控制在没有重定位项，所有代码和数据必须控制在64K以内以内8EXE文件，是以文件，是以.EXE结尾的文件结尾的文件文件以英文字母文件以英文字母“MZ”开头，通常称之为开头，通常称之为MZ文件文件MZ文件有一个文件头，用来指出每个段的定义，以及重定文件有一个文件头，用来指出每个段的定义，以及重定位表。位表。.EXE文件摆脱了代码大小最多不能超过文件摆脱了代码大小最多不能超过64K的限制，的限制，是是DOS下最主要的文件格式下最主要的文件格式u在在Windows 3.0/3.1的可执行文件，在的可执行文件，在MZ文件头之后又有文件头之后又有一个以一个以“NE”开始的文件头，称之为开始的文件头，称之为NE文件文件u在在Win32位平台可执行文件格式：可移植的可执行文件位平台可执行文件格式：可移植的可执行文件(Portable Executable File)格式，即格式，即PE格式。格式。MZ文件头之文件头之后是一个以后是一个以“PE”开始的文件头开始的文件头2.6 2.6 EXEEXE文件的格式文件的格式u安装在硬盘上的程序没运行安装在硬盘上的程序没运行-静态静态u加载到内存加载到内存-动态动态2.6.1 MZ文件格式文件格式-Mark Zbikowski u.EXE文件由三部分构成：文件头、重定位表和二进制代码文件由三部分构成：文件头、重定位表和二进制代码u允许代码、数据、堆栈分别处于不同的段，每一段都可以是允许代码、数据、堆栈分别处于不同的段，每一段都可以是64KB.2.6 2.6 EXEEXE文件的格式文件的格式偏移偏移大小大小(字节字节)描述描述002EXE文件类型标记：文件类型标记：4D5Ah(ASCII字符字符MZ)022文件最后一个扇区的字节数文件最后一个扇区的字节数042文件的总扇区文件的总扇区(页页)数数文件的大小文件的大小=(总扇区数总扇区数-1)512+最后一个扇区的字节数最后一个扇区的字节数062重定位项的个数重定位项的个数082EXE文件头的大小文件头的大小(16字节的倍数字节的倍数)0A2最小分配数最小分配数(16字节的倍数字节的倍数)0C2最大分配数最大分配数(16字节的倍数字节的倍数)0E2初始化堆栈段初始化堆栈段(SS初值初值)102初始化堆栈指针初始化堆栈指针(SP初值初值)122补码校验和补码校验和142初始代码段指针初始代码段指针(IP初值初值)162初始代码段段地址初始代码段段地址(CS初值初值)182定位表的偏移地址定位表的偏移地址(第一个重定位项的偏移量第一个重定位项的偏移量)1A2连接程序产生的覆盖号连接程序产生的覆盖号确定确定MZ文件的大小文件的大小以大小为以大小为512B的页为存储单位的页为存储单位确定代码的开始处确定代码的开始处执行代码的入口地址执行代码的入口地址重定位表的指针链表重定位表的指针链表比如调用比如调用C的库函数的库函数加载加载EXE文件文件调用调用C的库函数，程序编译后：的库函数，程序编译后：0000:0000 9A78563412 call far 1234:5678 程序加载器的重定位工作，就是将程序中需要重定位程序加载器的重定位工作，就是将程序中需要重定位的地方，都加上程序的加载地址。的地方，都加上程序的加载地址。这个程序被加载到了内存中的这个程序被加载到了内存中的1111段处。那么完成重段处。那么完成重定位后，代码应该是这样：定位后，代码应该是这样：1111:0000 9A78564523 call far 2345:5678 2.6.2 NE文件格式文件格式uNE是是New Excutable的缩写，是的缩写，是16位位Windows可可执行文件的标准格式，这种格式基本上没用了执行文件的标准格式，这种格式基本上没用了uNE在在MZ文件头之后添加了一个以文件头之后添加了一个以“NE”开始的文件开始的文件头头2.6 2.6 EXEEXE文件的格式文件的格式2.6.3 PE文件格式文件格式uWin32可执行文件，如可执行文件，如*.EXE、*.DLL、*.OCX等，等，都是都是PE格式格式uPE的意思就是的意思就是Portable Executable(可移植、可执可移植、可执行行)，它是，它是Win32可执行文件的标准格式可执行文件的标准格式u由于大量的由于大量的EXE文件被执行，且传播的可能性最大，文件被执行，且传播的可能性最大，因此，因此，Win32病毒感染文件时，基本上都会将病毒感染文件时，基本上都会将EXE文件作为目标文件作为目标2.6 2.6 EXEEXE文件的格式文件的格式计算机病毒也是程序或者程序代码，而且也是可执行的，否则无法感染、破坏、隐藏等，其病毒文件也是遵循PE的格式结构。2.6.3 PE文件格式文件格式u一般来说，病毒往往先于一般来说，病毒往往先于HOST程序获得控制权。运行程序获得控制权。运行Win32病毒的一般流程示意如下：病毒的一般流程示意如下：8用户点击或系统自动运行用户点击或系统自动运行HOST程序；程序；8装载装载HOST程序到内存；程序到内存；8通过通过PE文件中的文件中的AddressOfEntryPoint加加ImageBase之和，定位第一条语句的位置之和，定位第一条语句的位置(程序入口程序入口)；8从第一条语句开始执行从第一条语句开始执行(这时执行的其实是病毒代码这时执行的其实是病毒代码)；8病毒主体代码执行完毕，将控制权交给病毒主体代码执行完毕，将控制权交给HOST程序原来程序原来的入口代码；的入口代码；8HOST程序继续执行。程序继续执行。u问题在于：计算机病毒怎会在问题在于：计算机病毒怎会在HOST程序之前执行？程序之前执行？2.6 2.6 EXEEXE文件的格式文件的格式2.6.3 PE文件格式文件格式2.6 2.6 EXEEXE文件的格式文件的格式PE文件格式文件格式可看作为逻可看作为逻辑磁盘辑磁盘Boot扇区各种文件文件目录有了有了DOS头，程序在头，程序在DOS下执行，下执行，DOS就能识别这是个有效的执行体。就能识别这是个有效的执行体。DOS Stub是有效的是有效的DOS的可执行的代码，的可执行的代码，因而在不支持因而在不支持PE文件格式文件格式DOS下运行，下运行，它调用中断它调用中断21H的功能的功能9显示显示This program cannot be run in DOS mode 每种文件有不同属每种文件有不同属性，如只读、系统、性，如只读、系统、隐藏、文档等。节隐藏、文档等。节的划分是基于各种的划分是基于各种数据的共同属性，数据的共同属性，而不是逻辑概念。而不是逻辑概念。PE文件中的数文件中的数/代代码拥有相同的属性，码拥有相同的属性，就能被列入同一节。就能被列入同一节。因而节名仅仅是个因而节名仅仅是个名称而已，为了识名称而已，为了识别。真正理解节，别。真正理解节，要靠节的属性设置要靠节的属性设置2.6.3 PE文件格式文件格式u相对虚拟地址相对虚拟地址(Relative Virtual Addresses，RVA)8相对虚拟地址是一个相对于相对虚拟地址是一个相对于PE文件映射到内存的文件映射到内存的基地址的偏移量基地址的偏移量 2.6 2.6 EXEEXE文件的格式文件的格式0X004000000X15600X004015602.6.3 PE文件格式文件格式2.6 2.6 EXEEXE文件的格式文件的格式typedef structtypedef struct _IMAGE_DOS_HEADER /DOS _IMAGE_DOS_HEADER /DOS的的.EXEEXE头部头部 USHORT e_magic;/USHORT e_magic;/魔术数字魔术数字 USHORT e_USHORT e_cblpcblp;/;/文件最后页的字节数文件最后页的字节数 USHORT e_cp;/USHORT e_cp;/文件页数文件页数 USHORT e_USHORT e_crlccrlc;/;/重定向元素个数重定向元素个数 USHORT e_USHORT e_cparhdrcparhdr;/;/头部尺寸，以段落为单位头部尺寸，以段落为单位 USHORT e_USHORT e_minallocminalloc;/;/所需的最小附加段所需的最小附加段 USHORT e_USHORT e_maxallocmaxalloc;/;/所需的最大附加段所需的最大附加段 USHORT e_USHORT e_ssss;/;/初始的初始的SSSS值值(相对偏移量相对偏移量)USHORT e_sp;/USHORT e_sp;/初始的初始的SPSP值值 USHORT e_USHORT e_csumcsum;/;/校验和校验和 USHORT e_USHORT e_ipip;/;/初始的初始的IPIP值值 USHORT e_USHORT e_cscs;/;/初始的初始的CSCS值值(相对偏移量相对偏移量)USHORT e_USHORT e_lfarlclfarlc;/;/重分配表文件地址重分配表文件地址 USHORT e_USHORT e_ovnoovno;/;/覆盖号覆盖号 USHORT e_USHORT e_resres4;/4;/保留字保留字 USHORT e_USHORT e_oemidoemid;/OEM;/OEM标识符标识符(相对相对e_e_oeminfooeminfo)USHORT e_ USHORT e_oeminfooeminfo;/OEM;/OEM信息信息 USHORT e_res210;/USHORT e_res210;/保留字保留字 LONG e_LONG e_lfanewlfanew;/;/新新EXEEXE头部的文件地址头部的文件地址 IMAGE_DOS_HEADER,*PIMAGE_DOS_HEADER;IMAGE_DOS_HEADER,*PIMAGE_DOS_HEADER;0X4D5AMZPE头位置头位置PE装载器装载器跳过跳过DOS Stub定位到定位到PE文件头文件头2.6.3 PE文件格式文件格式uDOS头与头与DOS插桩程序插桩程序8PE结构中紧随结构中紧随MZ文件头之后的文件头之后的DOS插桩程序插桩程序(DOS Stub)8可以通过可以通过IMAGE_DOS_HEADER结构来识别一个合法的结构来识别一个合法的DOS头头8可以通过该结构的可以通过该结构的e_lfanew(偏移偏移60，32bits)成员来找到成员来找到PE开始的标志开始的标志0 x00004550(“PE00”)8病毒通过病毒通过“MZ”、“PE”这两个标志，初步判断当前程序是这两个标志，初步判断当前程序是否是目标文件否是目标文件PE文件。如果要精确校验指定文件是否文件。如果要精确校验指定文件是否为一有效为一有效PE文件，则可以检验文件，则可以检验PE文件格式里的各个数据结文件格式里的各个数据结构，或者仅校验一些关键数据结构。大多数情况下，没有构，或者仅校验一些关键数据结构。大多数情况下，没有必要校验文件里的每一个数据结构，只要一些关键数据结必要校验文件里的每一个数据结构，只要一些关键数据结构有效，就可以认为是有效的构有效，就可以认为是有效的PE文件文件2.6 2.6 EXEEXE文件的格式文件的格式2.6.3 PE文件格式文件格式uPE文件头文件头8紧接着紧接着DOS Stub的是的是PE header8PE header是是IMAGE_NT_HEADERS的简称，即的简称，即NT映像头映像头(PE文件头文件头)，存放，存放PE整个文件信息分布整个文件信息分布的重要字段，包含了许多的重要字段，包含了许多PE装载器用到的重要域。装载器用到的重要域。执行体在支持执行体在支持PE文件结构的操作系统中执行时文件结构的操作系统中执行时8PE装载器将从装载器将从DOS MZ header中找到中找到PE header的起始偏移量，从而跳过的起始偏移量，从而跳过DOS Stub直接定位到真直接定位到真正的文件头正的文件头PE header2.6 2.6 EXEEXE文件的格式文件的格式2.6.3 PE文件格式文件格式uPEPE文件头的结构文件头的结构8字符串字符串“PE00”(Signature)(4H字节字节)2.6 2.6 EXEEXE文件的格式文件的格式IMAGE_NT_HEADERS STRUCT IMAGE_NT_HEADERS STRUCT SignatureSignature dd dd?FileHeaderFileHeader IMAGE_FILE_HEADER IMAGE_FILE_HEADER OptionalHeaderOptionalHeader IMAGE_OPTIONAL_HEADER32IMAGE_OPTIONAL_HEADER32IMAGE_NT_HEADERS ENDSIMAGE_NT_HEADERS ENDS检验检验PE文件文件的有效性？的有效性？首先检验文件头部第一个字的值是否等于首先检验文件头部第一个字的值是否等于 IMAGE_DOS_SIGNATURE，是则，是则 DOS MZ header 有效。有效。一旦证明文件的一旦证明文件的 DOS header 有效后，就可用有效后，就可用e_lfanew来定位来定位 PE header 了。了。比较比较 PE header 的第一个字的值是否等于的第一个字的值是否等于 IMAGE_NT_HEADER。如果前后两个值都匹。如果前后两个值都匹配，那我们就认为该文件是一个有效的配，那我们就认为该文件是一个有效的PE文件。文件。typedef structtypedef struct _IMAGE_FILE_HEADER _IMAGE_FILE_HEADER WORD WORD MachineMachine;/0 x04;/0 x04，该程序要执行的环境及平台该程序要执行的环境及平台 WORDWORD NumberOfSectionsNumberOfSections;/0 x06;/0 x06，文件中节的个数文件中节的个数 DWORDDWORD TimeDateStamp TimeDateStamp;/0 x08;/0 x08，文件建立的时间文件建立的时间 DWORDDWORD PointerToSymbolTable PointerToSymbolTable;/0 x0c;/0 x0c，COFFCOFF符号表的偏移符号表的偏移 DWORDDWORD NumberOfSymbols NumberOfSymbols;/0 x10;/0 x10，符号数目符号数目 WORDWORD SizeOfOptionalHeaderSizeOfOptionalHeader;/0 x14;/0 x14，可选头的长度可选头的长度 WORD WORD CharacteristicsCharacteristics;/0 x16;/0 x16，标志集合标志集合 IMAGE_FILE_HEADER,*PIMAGE_FILE_HEADER;IMAGE_FILE_HEADER,*PIMAGE_FILE_HEADER;每个节表每个节表28H字节字节病毒感兴趣病毒感兴趣的地方，的地方，添加一个新节添加一个新节IMAGE_NT_HEADERS STRUCT IMAGE_NT_HEADERS STRUCT SignatureSignature dd dd?FileHeaderFileHeader IMAGE_FILE_HEADER IMAGE_FILE_HEADER OptionalHeaderOptionalHeader IMAGE_OPTIONAL_HEADER32IMAGE_OPTIONAL_HEADER32IMAGE_NT_HEADERS ENDSIMAGE_NT_HEADERS ENDSPE文件头的结构文件头的结构-映像文件头映像文件头-NT映像头的映像头的主要部分，主要部分，包含有包含有PE文文件的基本信息件的基本信息关于关于PE文件物理分布的基本信息文件物理分布的基本信息关于文件信息的标记，比如文件是关于文件信息的标记，比如文件是 exe还是还是 dllPE文件逻辑分布的信息文件逻辑分布的信息2.6.3 PE文件格式文件格式8紧跟映像文件头后面的是可选映像头紧跟映像文件头后面的是可选映像头-是必须的！是必须的！2.6 2.6 EXEEXE文件的格式文件的格式typedef structtypedef struct _IMAGE_OPTIONAL_HEADER _IMAGE_OPTIONAL_HEADER /标准域标准域:/WORD Magic;/0 x18WORD Magic;/0 x18，一般是一般是0 0 x010Bx010B BYTE BYTE MajorLinkerVersion MajorLinkerVersion;/0 x1a;/0 x1a，链接器的主链接器的主/次版本号，次版本号，BYTEBYTE MinorLinkerVersion MinorLinkerVersion;/0 x1b;/0 x1b，这两个值都不可靠这两个值都不可靠 DWORDDWORD SizeOfCodeSizeOfCode;/0 x1c;/0 x1c，可执行代码的长度可执行代码的长度 DWORDDWORD SizeOfInitializedData SizeOfInitializedData;/0 x20;/0 x20，初始化数据的长度初始化数据的长度(数据节数据节)DWORDDWORD SizeOfUninitializedData SizeOfUninitializedData;/0 x24;/0 x24，未初始化数据的长度未初始化数据的长度(bssbss节节)DWORDDWORD AddressOfEntryPointAddressOfEntryPoint;/0 x28;/0 x28，代码的入口代码的入口RVARVA地址，程序从这开始执行地址，程序从这开始执行 DWORDDWORD BaseOfCode BaseOfCode;/0 x2c;/0 x2c，可执行代码起始位置，意义不大可执行代码起始位置，意义不大 DWORDDWORD BaseOfData BaseOfData;/0 x30;/0 x30，初始化数据起始位置，意义不大初始化数据起始位置，意义不大 /NT NT 附加域附加域:/DWORDDWORD ImageBaseImageBase;/0 x34;/0 x34，载入程序首选的载入程序首选的VAVA地址地址 DWORDDWORD SectionAlignmentSectionAlignment;/0 x38 0 x38，加载后节在内存中的对齐方式加载后节在内存中的对齐方式-节的大小节的大小 DWORDDWORD FileAlignmentFileAlignment;/0 x3c;/0 x3c，节在文件中的对齐方式节在文件中的对齐方式-节的大小节的大小(待续待续)首选不是必须，如果该值为400000H，但是被其他模块占用，PE装载器会选择其他空闲地址。内存中节对齐的粒度。该值为4096-1000H，那么每节的起始地址必须是4096倍数。若第一节从401000H开始，大小为10字节，那么下一节从什么地方开始？文件中节对齐的粒度。该值为512-200H，那么每节的起始地址必须是512倍数。若第一节从200H开始，大小为10字节，那么下一节从什么地方开始？运行PE文件的第一条指令的RVA。进程从虚址VA401000H开始执行，那么该值为多少？病毒感兴趣！-指向病毒体代码2.6.3 PE文件格式文件格式2.6 2.6 EXEEXE文件的格式文件的格式（续前）（续前）WORD WORD MajorOperatingSystemVersionMajorOperatingSystemVersion;/0 x3e;/0 x3e，操作系统主操作系统主/次版本，次版本，WORDWORD MinorOperatingSystemVersion MinorOperatingSystemVersion;/0 x40;/0 x40，LoaderLoader并没有用这两个值并没有用这两个值 WORDWORD MajorImageVersion MajorImageVersion;/0 x42;/0 x42，可执行文件主可执行文件主/次版本次版本 WORDWORD MinorImageVersion MinorImageVersion;/0 x44;/0 x44 WORD WORD MajorSubsystemVersion MajorSubsystemVersion;/0 x46;/0 x46，子系统版本号子系统版本号 WORDWORD MinorSubsystemVersion MinorSubsystemVersion;/0 x48;/0 x48 DWORD Win32VersionValue;/0 x4c DWORD Win32VersionValue;/0 x4c，Win32Win32版本，一般是版本，一般是0 0 DWORDDWORD SizeOfImageSizeOfImage;/0 x50;/0 x50，程序调入后占用内存大小程序调入后占用内存大小(字节字节)DWORDDWORD SizeOfHeadersSizeOfHeaders;/0 x54;/0 x54，文件头的长度之和文件头的长度之和 DWORDDWORD CheckSumCheckSum;/0 x58;/0 x58，校验和校验和 WORD WORD SubsystemSubsystem;/0 x5c;/0 x5c，可执行文件的子系统可执行文件的子系统GUIGUI或或CUICUI WORDWORD DllCharacteristics DllCharacteristics;/0 x5e;/0 x5e，何时何时DllMainDllMain被调用，一般为被调用，一般为0 0 DWORDDWORD SizeOfStackReserve SizeOfStackReserve;/0 x60;/0 x60，初始化线程时保留的堆栈大小初始化线程时保留的堆栈大小 DWORDDWORD SizeOfStackCommit SizeOfStackCommit;/0 x64;/0 x64，初始化线程时提交的堆栈大小初始化线程时提交的堆栈大小 DWORDDWORD SizeOfHeapReserve SizeOfHeapReserve;/0 x68;/0 x68，进程初始化时保留的堆大小进程初始化时保留的堆大小 DWORDDWORD SizeOfHeapCommit SizeOfHeapCommit;/0 x6c;/0 x6c，进程初始化时提交的堆大小进程初始化时提交的堆大小 DWORDDWORD LoaderFlags LoaderFlags;/0 x70;/0 x70，装载标志，与调试相关装载标志，与调试相关 DWORDDWORD NumberOfRvaAndSizes NumberOfRvaAndSizes;/0 x74;/0 x74，数据目录的项数，一般是数据目录的项数，一般是1616 IMAGE_DATA_DIRECTORYIMAGE_DATA_DIRECTORY DataDirectory DataDirectoryIMAGE_NUMBEROF_DIRECTORY_ENTRIES;IMAGE_NUMBEROF_DIRECTORY_ENTRIES;IMAGE_OPTIONAL_HEADER,*PIMAGE_OPTIONAL_HEADER;IMAGE_OPTIONAL_HEADER,*PIMAGE_OPTIONAL_HEADER;DataDirectory：数据目录表：数据目录表 typedef struct _IMAGE_DATA_DIRECTORY DWORD VirtualAddress;DWORD Size;IMAGE_DATA_DIRECTORY,*PIMAGE_DATA_DIRECTORY;u是一个是一个IMAGE_DATA_DIRECTORY结构数组，结构数组，有有16个这样的元素。个这样的元素。u数据目录表数据目录表-每个结构给出一个重要数据结构的每个结构给出一个重要数据结构的起始起始RVA和大小信息。和大小信息。u节表可以看作是节表可以看作是PE文件各节的根目录的话，也文件各节的根目录的话，也可以认为可以认为 data directory 是存储在这些节里的是存储在这些节里的逻辑元素的根目录。逻辑元素的根目录。u什么重要数据结构？什么重要数据结构？如：导入目录如：导入目录-导入函数导入函数(引入函数引入函数)一个引入函数是被某模块调用但又不在调用模块中一个引入函数是被某模块调用但又不在调用模块中的函数，位于一个或者更多的的函数，位于一个或者更多的DLL里，因而要保留里，因而要保留一些函数信息，包括函数名及其驻留的一些函数信息，包括函数名及其驻留的DLL名。名。u怎么样获得怎么样获得PE文件中重要数据结构？文件中重要数据结构？怎么样获得怎么样获得PE文件中重要数据结构？文件中重要数据结构？u从从 DOS header 定位到定位到 PE headeru从从 optional header 读取读取 data directory 的地址。的地址。uIMAGE_DATA_DIRECTORY 结构尺寸乘上找寻结结构尺寸乘上找寻结构的索引号构的索引号:比如您要找寻比如您要找寻import symbols的位置的位置信息，必须用信息，必须用IMAGE_DATA_DIRECTORY 结构尺结构尺寸寸(8 bytes)乘上乘上1（import symbols在在data directory中的索引号）。中的索引号）。u将上面的结果加上将上面的结果加上data directory地址，我们就得地址，我们就得到包含所查询数据结构信息的到包含所查询数据结构信息的 IMAGE_DATA_DIRECTORY 结构项。结构项。2.6.3 PE文件格式文件格式u节表是紧挨着节表是紧挨着NT映像头的一结构数组，其成员的数映像头的一结构数组，其成员的数目由映像文件头中目由映像文件头中NumberOfSections决定决定2.6 2.6 EXEEXE文件的格式文件的格式#define IMAGE_SIZEOF_SHORT_NAME 8#define IMAGE_SIZEOF_SHORT_NAME 8typedef structtypedef struct _IMAGE_SECTION_HEADER _IMAGE_SECTION_HEADER UCHAR NameIMAGE_SIZEOF_SHORT_NAME;/UCHAR NameIMAGE_SIZEOF_SHORT_NAME;/节名节名 union union ULONG ULONG PhysicalAddress PhysicalAddress;/OBJ;/OBJ文件中表示本节物理地址文件中表示本节物理地址 ULONGULONG VirtualSizeVirtualSize;/EXE;/EXE文件中表示节的实际字节数文件中表示节的实际字节数 MiscMisc;ULONG ULONG VirtualAddressVirtualAddress;/;/本节的本节的RVARVA ULONG ULONG SizeOfRawData SizeOfRawData;/;/本节经过文件对齐后的尺寸本节经过文件对齐后的尺寸 ULONGULONG PointerToRawData PointerToRawData;/;/本节原始数据在文件中的位置本节原始数据在文件中的位置 ULONGULONG PointerToRelocations PointerToRelocations;/OBJ;/OBJ文件中表示本节重定位信文件中表示本节重定位信 /息的偏移，息的偏移，EXEEXE文件中无意义文件中无意义 ULONGULONG PointerToLinenumbers PointerToLinenumbers;/;/行号偏移行号偏移 USHORT NumberOfRelocations;/USHORT NumberOfRelocations;/本节需重定位的数目本节需重定位的数目 USHORT NumberOfLinenumbers;/USHORT NumberOfLinenumbers;/本节在行号表中的行号数目本节在行号表中的行号数目 ULONG Characteristics;/ULONG Characteristics;/节属性节属性 IMAGE_SECTION_HEADER,*PIMAGE_SECTION_HEADER;IMAGE_SECTION_HEADER,*PIMAGE_SECTION_HEADER;本节的实际字节数 如388H字节本节的相对虚拟地址 如为1000H，而PE文件装载地址400000H，？经过文件对齐后的节尺寸;若对齐粒度为200H,那么该值为？病毒喜欢这里PE装载器通过本域找到节的位置2.6.3 PE文件格式文件格式8代码节的属性一般是代码节的属性一般是60000020H，即即“可执行可执行”、“可读可读”和和“节中包含代码节中包含代码”8数据节的属性一般是数据节的属性一般是C0000040H，即即“可读可读”、“可写可写”和和“包含已初始化数据包含已初始化数据”8病毒在添加新节时，都会将新添加的节的属性设病毒在添加新节时，都会将新添加的节的属性设置为可读、可写、可执行置为可读、可写、可执行2.6 2.6 EXEEXE文件的格式文件的格式NumberOfSections知道有几个节知道有几个节SizeOfHeaders知道节表在什么地方开始知道节表在什么地方开始遍历节表，遍历节表，PointerToRawData知道节在文件中偏移量知道节在文件中偏移量SizeOfRawData来决定映射内存的字节数来决定映射内存的字节数VirtualAddress加上加上ImageBase知道节的起始虚拟地址知道节的起始虚拟地址2.6.3 PE文件格式文件格式u节节8PE文件的真正内容划分成块，称之为文件的真正内容划分成块，称之为Section(节节)，紧跟在，紧跟在节表之后节表之后8每个节是一块拥有共同属性的数据，比如代码每个节是一块拥有共同属性的数据，比如代码/数据、读数据、读/写写等等8可以把可以把PE文件想象成一逻辑磁盘，文件想象成一逻辑磁盘，PE header是磁盘的是磁盘的Boot扇区，节表就是根目录，而扇区，节表就是根目录，而Section就是各种文件，就是各种文件，每种文件自然就有不同属性如只读、系统、隐藏、文档等每种文件自然就有不同属性如只读、系统、隐藏、文档等等等8节的划分是基于各组数据的共同属性而不是逻辑概念节的划分是基于各组数据的共同属性而不是逻辑概念如果如果PE文件中的数据文件中的数据/代码拥有相同属性，它们就能被归入代码拥有相同属性，它们就能被归入同一节中同一节中8节名称仅仅是个区别不同节的符号而已，类似节名称仅仅是个区别不同节的符号而已，类似“data”、“code”的命名只为了便于识别，惟有节的属性设置决定了的命名只为了便于识别，惟有节的属性设置决定了节的特性和功能节的特性和功能 2.6 2.6 EXEEXE文件的格式文件的格式2.6.3 PE文件格式文件格式8代码节代码节.textWindows NT默认的做法是将所有的可执行代码组成了一默认的做法是将所有的可执行代码组成了一个单独的节，名为个单独的节，名为“.text”或或“.code”.text节也包含了在数据目录表中提到过的入口点节也包含了在数据目录表中提到过的入口点IAT亦存在于亦存在于.text节之中的模块入口点之前。节之中的模块入口点之前。IAT是一系列是一系列的跳转指令。要在的跳转指令。要在.text节之中查找节之中查找IAT，装载器只用将模块装载器只用将模块的入口点定位，而的入口点定位，而IAT恰恰出现于入口点之前。既然每个入恰恰出现于入口点之前。既然每个入口拥有相同的尺寸，那么向后退查找这个表的起始位置就口拥有相同的尺寸，那么向后退查找这个表的起始位置就很容易很容易8引入函数节引入函数节.idata包含有从其它包含有从其它DLL中引入的函数中引入的函数该节开始是一个成员为该节开始是一个成员为IMAGE_IMPORT_DESCRIPTOR结结构的结构数组，也叫引入表，数据目录表表项结构成员构的结构数组，也叫引入表，数据目录表表项结构成员VirtualAddress包含引入表地址包含引入表地址引入函数节可能被病毒用来直接获取引入函数节可能被病毒用来直接获取API函数地址函数地址2.6 2.6 EXEEXE文件的格式文件的格式对对WIN32API函数函数GetMessage的调用的调用USER32.DLL一个程序调用外部一个程序调用外部DLL中的函数时并不直接调用那个中的函数时并不直接调用那个DLL中的函数。相反，中的函数。相反，CALL指令转到了同一个指令转到了同一个.text节中的节中的JMP DWORD PTR XXXXXXXX类型的指类型的指令。令。这种这种JMP指令查找并且将控制权转移到的地址是实际的目标地址。指令查找并且将控制权转移到的地址是实际的目标地址。PE文件的文件的.idata节包含了加载器用以确定目标函数的地址并且在可执行映像中修节包含了加载器用以确定目标函数的地址并且在可执行映像中修正它们所需的信息。正它们所需的信息。IMAGE_IMPORT_BY_NAME为什么会有两个并列的指向为什么会有两个并列的指向IMAGE_IMPORT_BY_NAME结构的指针数组呢？结构的指针数组呢？第一个数组（由第一个数组（由Characteristics域指向的那一个）总是保留原样，系统并不修改。域指向的那一个）总是保留原样，系统并不修改。第二个数组（由第二个数组（由FirstThunk域指向的那一个）要被域指向的那一个）要被PE加载器修改。改成加载器修改。改成引入函数真实引入函数真实地址地址 加载器首先查找这个数组中每个指针所指向的加载器首先查找这个数组中每个指针所指向的IMAGE_IMPORT_BY_NAME结构所代表的函数的结构所代表的函数的地址。然后它用找到的这个函数地址来覆盖数组中相应的指向地址。然后它用找到的这个函数地址来覆盖数组中相应的指向IMAGE_IMPORT_BY_NAME结构结构的指针。而的指针。而JMP DWORD PTR XXXXXXXX这条指令中的这条指令中的XXXXXXXX部分就是这个部分就是这个FirstThunk数组中的某个元素的值。由于被加载器覆盖的这个指针数组最终保存的是导入函数的地数组中的某个元素的值。由于被加载器覆盖的这个指针数组最终保存的是导入函数的地址，因此它被称为导入地址表（址，因此它被称为导入地址表（Import Address Table，IAT）。）。IMAGE_THUNK_DATAPE 文件从 kernel32.dll 中引入 10 个函数，那么 IMAGE_IMPORT_DESCRIPTOR 结构的 Name1 域包含指向字符串“kernel32.dll”的 RVA，同时每个 IMAGE_THUNK_DATA 数组有 10 个元素。address2.6.3 PE文件格式文件格式u引出函数节引出函数节.edata8引出函数节是