学破�?<�?gt; PE格式之IMAGE_NT_HEADERS

Tiany — Wed, 11 Apr 2012 07:09:00 GMT

摘要: �q�个IMAGE_NT_HEADERS其实��是PE相关�l�构的映像头�Q�NT据我揣测应该是New Technology的羃写，区分于DOS WIN9X的新技术，您老要是非觉得是NTR什么的也没关系�?IMAGE_NT_HEADERS的结构是�q�个样子�?Code highlighting produced by Actipro CodeHighlighter (freeware)http://www.... 阅读全文

Tiany 2012-04-11 15:09 发表评论

学破�?<一> PE格式之MS-DOS MZ header

Tiany — Sun, 08 Apr 2012 14:24:00 GMT

PE的意思就是这�?the Protable Executable (PE) file format 微��Y搞得那么一套东西，字面意思是可移植的�Q�但是现实��用中没见他多么的可移植，PE格式借鉴了UNIX�pȝ��中的COFF (Common Object File Format) 格式。而且PE对MS-Dos的兼容，保留了MS-Dos��_��在dos下打开会提�C?“�q�是win32�E�序在dos下不能跑” 向下兼容�Q�非常的友好�?/span>

MS-DOS MZ header 的结构是�q�样�?/span>

MS-DOS MZ header

typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
    WORD   e_magic;                     // Magic number
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // File address of new exe header
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

其中比较关键的成员是�q�个 e_lfanew 它指向了PE文�g头在PE文�g中的相对虚拟地址RAV(Relative Virtual Addresses)�Q�e_magic的值应该等�?0x5A4D 是MS-DOS MZ header的标�?MZ好像是个�E�序员名字的�~�写其他成员基本没啥大用�Q�一些加壌��Y件会修改它的成员��q��节腾出空��_��或者在��d��节�Ş式感染时节表��N��的空隙不够写入一个新的解表结构的时候把IMAGE_DOS_HEADE �?IMAGE_NT_HEADER 融合�?/p>

可以自己写一个小�E�序来输��Z��下IMAGE_DOS_HEADE

IMAGE_DOS_HEADE�q�个�l�构体定义在windows.h�?/p>

�pȝ��加蝲PE格式的文件时�Q�会先加载IMAGE_DOS_HEADE�q�个�l�构体，再根据结构体里的e_lfanew提供的相对偏�U�L��到PE文�g头�?/p>

用c语言可以直接��d��IMAGE_DOS_HEADE�q�个�l�构体，下面开始写�?/p>

从文件的开始位�|�读取IMAGE_DOS_HEADE�l�构�?br />

fread(&mydosheader,sizeof(mydosheader),1,p);

吧文件指针移动到e_lfanew所指的相对偏移�Q�即PE文�g�?br />

fseek(p,mydosheader.e_lfanew,SEEK_SET);

��d��PE文�g标志�Q�这个PE Signature�?PE\0\0 �q�样一个��|��证明它是PE格式的��n份�?br />

fread(&sig,4,1,p);

�q�个判断中大写的变量都是�Q�windows.h中的常数

IMAGE_NT_SIGNATURE 的值是 PE\0\0

IMAGE_DOS_SIGN

ATURE 的值是 MZ

具体的定义可以自己去windows.h中看

　if((mydosheader.e_magic ==IMAGE_DOS_SIGNATURE) &&
　　　　　　　　(sig == IMAGE_NT_SIGNATURE))
　　　　　　　printf("有效的PE文�g/n");
　　　　else
　　　　　　printf("无效的PE文�g/n");
　　　　return 0;

下面是完整的�E�序

#include "windows.h"
#include "stdio.h"

int main(int argc, char* argv[])
{
　　　　FILE *p;
　　　　IMAGE_DOS_HEADER mydosheader;
　　　　unsigned long sig;

　　　　p = fopen("test1.exe","r+b");
　　　　if(p == NULL)return -1;

　　　　fread(&mydosheader,sizeof(mydosheader),1,p);
　　　　fseek(p,mydosheader.e_lfanew,SEEK_SET);
　　　　fread(&sig,4,1,p);
　　　　fclose(p);

　　　　printf("IMAGE_DOS_HEADER dump:/n");
　　　　printf("e_magic　 : %04x/n",mydosheader.e_magic);
　　　　printf("e_cblp　　: %04x/n",mydosheader.e_cblp);
　　　　printf("e_cp　　　: %04x/n",mydosheader.e_cp);
　　　　printf("e_crlc　　: %04x/n",mydosheader.e_crlc);
　　　　printf("e_cparhdr : %04x/n",mydosheader.e_cparhdr);
　　　　printf("e_minalloc: %04x/n",mydosheader.e_minalloc);
　　　　printf("e_maxalloc: %04x/n",mydosheader.e_maxalloc);
　　　　printf("e_ss　　　: %04x/n",mydosheader.e_ss);
　　　　printf("e_sp　　　: %04x/n",mydosheader.e_sp);
　　　　printf("e_csum　　: %04x/n",mydosheader.e_csum);
　　　　printf("e_ip　　　: %04x/n",mydosheader.e_ip);
　　　　printf("e_cs　　　: %04x/n",mydosheader.e_cs);
　　　　printf("e_lfarlc　: %04x/n",mydosheader.e_lfarlc);
　　　　printf("e_ovno　　: %04x/n",mydosheader.e_ovno);
　　　　printf("e_res[0]　: %04x/n",mydosheader.e_res[0]);
　　　　printf("e_oemid　 : %04x/n",mydosheader.e_oemid);
　　　　printf("e_oeminfo : %04x/n",mydosheader.e_oeminfo);
　　　　printf("res2[0]　 : %04x/n",mydosheader.e_res2[0]);
　　　　printf("lfanew　　: %08x/n",mydosheader.e_lfanew);

　　　　if((mydosheader.e_magic ==IMAGE_DOS_SIGNATURE) &&
　　　　　　　　(sig == IMAGE_NT_SIGNATURE))
　　　　　　　printf("有效的PE文�g/n");
　　　　else
　　　　　　printf("无效的PE文�g/n");
　　　　return 0;
}

最后附上参考文章的地址

http://xue23.blog.163.com/blog/static/9793442005431142120/

http://bbs.fishc.com/home.php?mod=space&uid=9&do=blog&id=558

Peering Inside the PE.pdf

http://xue23.blog.163.com/blog/static/9793442005431142120/

Tiany 2012-04-08 22:24 发表评论

久久久久久极精品久久久,久久99国产精品99久久,看久久久久久a级毛片

学破�?<�?gt; PE格式之IMAGE_NT_HEADERS

学破�?<一> PE格式之MS-DOS MZ header