关注每一天新的互联网!

PE文件头简析及输入表、输出表的分析

1、PE文件格式
文件头
__________________________________________________________________
dos 'MZ' HEADER | 该字段中的e_lfanew字段指向pe头
dos stub |
——————————————————————-
"PE",0,0 | pe文件标识 (pe文件头包含三个部分)
IMAGE_FILE_HEADER | 文件映像头
IMAGE_OPTIONAL_HEADER32 | 可选映像头
数据目录表 | //包含在可选映像头中,包含输出\入表信息
——————————————————————-
IMAGE_SECTION_HEADER | //对应.text块
IMAGE_SECTION_HEADER |
IMAGE_SECTION_HEADER | 块表(Section Table)
IMAGE_SECTION_HEADER |
——————————————————————-
.text |
.data |
.edata | 块(Section)
.reloc |
——————————————————————-
COFF 行号 |
COFF 符号表 | 调试信息
Code View调试信息 |
___________________________________________________________________
文件尾

说明:
01、输入表、输出表的位置:在pe头中可选映像头字段中数据目录表字段中,相对于pe文件
标识处的偏移分别为:+80h、+78h;(其中pe文件标识的位置在dos 'MZ' HEADER字
段中的e_lfanew指出,该字段相对于文件开始的偏移为+3Ch,4个字节);
02、在用例子说明时用c32asm打开,其中的偏移均为文件在磁盘上存储的物理偏移,而查
看的值均为给出的各个地址的RVA,转化方法入下:
查到的RVA值-VOffset(可由lordpe查看)+ROffset 得到的就是可以c32asm中的偏移
2、上面对pe文件格式做了简要介绍,下面主要分析输入表和输出表:
输入表篇:
概念不做介绍,位置上面已经给出,呵呵
输入表的结构:输入表是以一个IMAGE_IMPORT_DESCRIPTOR(IID)数组开始,一个程序
要调用几个dll就会有几个IID项,即每个IID对应于一个dll
IID结构:
IMAGE_IMPORT_DESCRIPTOR struct
union{
DWORD Characteristics ; ;00h
DWORD originalFirstThunk; // 注释1
};
TimeDateStamp DWORD ;04h // 时间标志,可以忽略;
ForwarderChain DWORD ;08h // 正向链接索引,一般为0,当程序引用一个dll中的api,
//而这个api又引用其它dll中的api时用;
Name DWORD ;0Ch //DLL名字的指针,以00结尾的ASCII字符的RVA地址;
FirstThunk DWORD ;10h // 注释2
IMAGE_IMPORT_DESCRIPTOR ends
注释 1:该值为一个 IMAGE_THUNK_DATA数组的RVA,其中的每个指针都指向IMAGE_IMPORT_BY_NAME结构。
( IMAGE_THUNK_DATA包含了一个指向IMAGE_IMPORT_BY_NAME结构的指针,而非该结构本身,即:
有几个IMAGE_IMPORT_BY_NAME结构,收集这些结构的RVA
(即:IMAGE_THUNK_DATA)组成一个数组,以0结尾,然后将数组的RVA(指针)放入OriginalFirstThunk);
注释2 :该值也是一个指向 IMAGE_THUNK_DATA数组的RVA地址,如果不是一个指针,则就是该功能在DLL中的序号;
注释3 :OriginalFirstThunk与FirstThunk在本质上一致,不同在于:在pe文件被pe装载器装入之前,两者一样,指向同一个数组。
当pe文件被装载器装入之后,OriginalFirstThunk还指向原来的数组(INT 输入名字表:Import Name Table),
而FirstThunk则用调用的输入函数在内存的虚拟地址来代替表中的内容,即
指向的是一张指向输入函数地址的表,称为:IAT(输入地址表:Import Address Table)
IMAGE_THUNK_DATA结构:
typedef struct IMAGE_THUNK_DATA{
union{
PBYTE ForwarderString; //当该结构双字最高位为1时,表示函数以序号方式输入,此时双字低位为函数序号
PDWORD Function; //当最高位为0时,表示函数以字符串类型的函数名方式输入,此时整个双字的值是
DWORD ordinal; //一个RVA,指向一个MAGE_IMPORT_BY_NAME结构(如下定义)
PIMAGE_IMPORT_BY_NAME AddressOfData; //
}ul;
}
IMAGE_IMPORT_BY_NAME 结构:
MAGE_IMPORT_BY_NAME STRUCT
Hint WORD ? //指示本函数在所驻留dll中的输出表中的序号(不是必须的)
Name BYTE ? //含有输入函数的函数名,一个ASCII码字符串,以NULL结尾(可变尺寸)
MAGE_IMPORT_BY_NAME ENDS
输入表的结构如上所述,(免杀)在对输入表进行修改时(一般是iat的修改),
将函数移到其它地方,然后修改相当应的THUNK,当然并不是全都有效,
比如nod32 的定位机制是跟踪thunk对其取出的函数进行对比,这样上面不管怎么移取出来的都一样,所以失效……

输出表篇:
输出表一般存在与dll文件中,很少出现在exe文件中(也有)。主要为可执行文件修正其IAT提供信息和依据;
输出表的位置在:pe头的可选映像头中的数据目录表的第一个字段,pe+78h处;
输出表指向一个IMAGE_EXPORT_DIRECTORY (IED);
IED结构定义如下:
typedef struct IMAGE_EXPORT_DIRECTORY {
ULONG Charateristics ;未使用,总为0
ULONG TimeDateStamp ;文件生成时间
USHORT MajorVersion ;主版本号,一般为0
USHORT MinorVersion ;次版本号,一般为0
ULONG Name ;模块中的真实名称
ULONG Base ;基数,加上序数就是函数地址数组的索引值
ULONG NumberOfFunctions ;AddressOfFunction序列中的元素个数
ULONG NumberOfNames ;AddressOfNames 序列中的元素个数
PULONG*AddressOfFunctions ;指向函数地址数组
PULONG*AddressOfNames ;函数名字的指针地址
PUSHORT*AddressOfNameOndinals ;指向输出序号数组
}IMAGE_EXPORT_DIRECTORY,*PIMAGE_EXPORT_DIRECTORY

说明:
01、NumberOfFunctions和NumberOfNames一般相等;
02、NumberOfNames此值一般表示以名称输出的函数个数,通常与输出函数总数相等。若为0,表示模块仅仅通过序号引出。
03、免杀中对定位到输出表的修改比较容易,一是改函数位置和thunk,若是对nod32类型可以同时修改序号和对应的输出函数;

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址