PE文件格式分析基础实战

本篇文章是在对PE文件格式有了一定了解的基础上，对最简单的PE文件进行分析，以此巩固和验证前面学到的知识。借助python的pefile包简化分析实验。其中分析的PE文件是由print(“hello world”);在Devcpp下编译生成的可执行文件。代码如下

#include <stdio.h>
int main(){
	printf("hello world");
	return 0;
}

首先放上文章结尾处的PE文件结构结论图示

安装pefile包

pip install pefile

读取pe文件基本信息

import pefile
import os
import string
import shutil# 文件和文件集合的高级操作

pefile_path = "a.exe"
pe = pefile.PE(pefile_path)
print(pe)

DOS头

----------DOS_HEADER----------

[IMAGE_DOS_HEADER]
0x0        0x0   e_magic:                       0x5A4D    
0x2        0x2   e_cblp:                        0x90      
0x4        0x4   e_cp:                          0x3       
0x6        0x6   e_crlc:                        0x0       
0x8        0x8   e_cparhdr:                     0x4       
0xA        0xA   e_minalloc:                    0x0       
0xC        0xC   e_maxalloc:                    0xFFFF    
0xE        0xE   e_ss:                          0x0       
0x10       0x10  e_sp:                          0xB8      
0x12       0x12  e_csum:                        0x0       
0x14       0x14  e_ip:                          0x0       
0x16       0x16  e_cs:                          0x0       
0x18       0x18  e_lfarlc:                      0x40      
0x1A       0x1A  e_ovno:                        0x0       
0x1C       0x1C  e_res:                         
0x24       0x24  e_oemid:                       0x0       
0x26       0x26  e_oeminfo:                     0x0       
0x28       0x28  e_res2:                        
0x3C       0x3C  e_lfanew:                      0x80      

e_lfanew的值就是NT头(也叫PE头)，指向0x80，所以NT头的文件偏移(Offset)就是0x80。从下面的NT头起始地址得以验证。

NT头

----------NT_HEADERS----------

[IMAGE_NT_HEADERS]
0x80       0x0   Signature:                     0x4550    

----------FILE_HEADER----------

[IMAGE_FILE_HEADER]
0x84       0x0   Machine:                       0x8664    
0x86       0x2   NumberOfSections:              0x11      
0x88       0x4   TimeDateStamp:                 0x61CD19BA [Thu Dec 30 02:30:18 2021 UTC]
0x8C       0x8   PointerToSymbolTable:          0x18000   
0x90       0xC   NumberOfSymbols:               0x5B8     
0x94       0x10  SizeOfOptionalHeader:          0xF0      
0x96       0x12  Characteristics:               0x27      
Flags: IMAGE_FILE_EXECUTABLE_IMAGE, IMAGE_FILE_LARGE_ADDRESS_AWARE, IMAGE_FILE_LINE_NUMS_STRIPPED, IMAGE_FILE_RELOCS_STRIPPED

----------OPTIONAL_HEADER----------

[IMAGE_OPTIONAL_HEADER64]
0x98       0x0   Magic:                         0x20B     
0x9A       0x2   MajorLinkerVersion:            0x2       
0x9B       0x3   MinorLinkerVersion:            0x18      
0x9C       0x4   SizeOfCode:                    0x1E00    
0xA0       0x8   SizeOfInitializedData:         0x1C00    
0xA4       0xC   SizeOfUninitializedData:       0xC00     
0xA8       0x10  AddressOfEntryPoint:           0x1500    
0xAC       0x14  BaseOfCode:                    0x1000    
0xB0       0x18  ImageBase:                     0x400000  
0xB8       0x20  SectionAlignment:              0x1000    
0xBC       0x24  FileAlignment:                 0x200     
0xC0       0x28  MajorOperatingSystemVersion:   0x4       
0xC2       0x2A  MinorOperatingSystemVersion:   0x0       
0xC4       0x2C  MajorImageVersion:             0x0       
0xC6       0x2E  MinorImageVersion:             0x0       
0xC8       0x30  MajorSubsystemVersion:         0x5       
0xCA       0x32  MinorSubsystemVersion:         0x2       
0xCC       0x34  Reserved1:                     0x0       
0xD0       0x38  SizeOfImage:                   0x22000   
0xD4       0x3C  SizeOfHeaders:                 0x600     
0xD8       0x40  CheckSum:                      0x2C948   
0xDC       0x44  Subsystem:                     0x3       
0xDE       0x46  DllCharacteristics:            0x0       
0xE0       0x48  SizeOfStackReserve:            0x200000  
0xE8       0x50  SizeOfStackCommit:             0x1000    
0xF0       0x58  SizeOfHeapReserve:             0x100000  
0xF8       0x60  SizeOfHeapCommit:              0x1000    
0x100      0x68  LoaderFlags:                   0x0       
0x104      0x6C  NumberOfRvaAndSizes:           0x10      
DllCharacteristics: 

IMAGE_FILE_HEADER.NumberOfSections=0x11
区段(节)数量为17个，后面一定会有17个节头表项(区段表项)

pefile包解析出来的结果是在IMAGE_OPTIONAL_HEADER64之后没有体现IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];内容，而是直接跟着17个PE Sections的区段表项。

但是从偏移地址可以看出其中空缺了一部分0x104~0x188，如下所示

从01edit中查看这部分内容，如下所示，就是数据目录表项的内容(16个表项，最后一个为全0).

在python输出的内容后面也能看到

----------Directories----------

[IMAGE_DIRECTORY_ENTRY_EXPORT]
0x108      0x0   VirtualAddress:                0x0       
0x10C      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_IMPORT]
0x110      0x0   VirtualAddress:                0x8000    
0x114      0x4   Size:                          0x7C8     
[IMAGE_DIRECTORY_ENTRY_RESOURCE]
0x118      0x0   VirtualAddress:                0x0       
0x11C      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_EXCEPTION]
0x120      0x0   VirtualAddress:                0x5000    
0x124      0x4   Size:                          0x234     
[IMAGE_DIRECTORY_ENTRY_SECURITY]
0x128      0x0   VirtualAddress:                0x0       
0x12C      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_BASERELOC]
0x130      0x0   VirtualAddress:                0x0       
0x134      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_DEBUG]
0x138      0x0   VirtualAddress:                0x0       
0x13C      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_COPYRIGHT]
0x140      0x0   VirtualAddress:                0x0       
0x144      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_GLOBALPTR]
0x148      0x0   VirtualAddress:                0x0       
0x14C      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_TLS]
0x150      0x0   VirtualAddress:                0xA020    
0x154      0x4   Size:                          0x28      
[IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG]
0x158      0x0   VirtualAddress:                0x0       
0x15C      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT]
0x160      0x0   VirtualAddress:                0x0       
0x164      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_IAT]
0x168      0x0   VirtualAddress:                0x81EC    
0x16C      0x4   Size:                          0x1B0     
[IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT]
0x170      0x0   VirtualAddress:                0x0       
0x174      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR]
0x178      0x0   VirtualAddress:                0x0       
0x17C      0x4   Size:                          0x0       
[IMAGE_DIRECTORY_ENTRY_RESERVED]
0x180      0x0   VirtualAddress:                0x0       
0x184      0x4   Size:                          0x0 

到此得出结论PE文件部分结构
DOS头(其中包括DOS头的MZ标识部分和DOS Stub加载模块部分)后面紧跟着NT头，NT头包含Signature字段、IMAGE_FILE_HEADER结构体、IMAGE_OPTIONAL_HEADER32结构体。
在IMAGE_OPTIONAL_HEADER32结构体中的最后一个元素就是数据目录表(一个结构体数组)，每个结构体中描述了数据块起始RVA地址和大小。可以用公式把RVA转成Offset(文件偏移地址)来找到这些数据目录表项中指向的数据块的文件偏移地址，在稍后会进行分析。

下面接着看从0x188处开始的IMAGE_SECTION_HEADER
以第一个区段表项为例

[IMAGE_SECTION_HEADER]
0x188      0x0   Name:                          .text
0x190      0x8   Misc:                          0x1C60    
0x190      0x8   Misc_PhysicalAddress:          0x1C60    
0x190      0x8   Misc_VirtualSize:              0x1C60    
0x194      0xC   VirtualAddress:                0x1000    
0x198      0x10  SizeOfRawData:                 0x1E00    
0x19C      0x14  PointerToRawData:              0x600     
0x1A0      0x18  PointerToRelocations:          0x0       
0x1A4      0x1C  PointerToLinenumbers:          0x0       
0x1A8      0x20  NumberOfRelocations:           0x0       
0x1AA      0x22  NumberOfLinenumbers:           0x0       
0x1AC      0x24  Characteristics:               0x60500020
Flags: IMAGE_SCN_ALIGN_1024BYTES, IMAGE_SCN_ALIGN_16BYTES, IMAGE_SCN_ALIGN_1BYTES, IMAGE_SCN_ALIGN_2048BYTES, IMAGE_SCN_ALIGN_256BYTES, IMAGE_SCN_ALIGN_32BYTES, IMAGE_SCN_ALIGN_4096BYTES, IMAGE_SCN_ALIGN_4BYTES, IMAGE_SCN_ALIGN_64BYTES, IMAGE_SCN_ALIGN_8192BYTES, IMAGE_SCN_ALIGN_8BYTES, IMAGE_SCN_ALIGN_MASK, IMAGE_SCN_CNT_CODE, IMAGE_SCN_MEM_EXECUTE, IMAGE_SCN_MEM_READ
Entropy: 5.812202 (Min=0.0, Max=8.0)
MD5     hash: 0f72c726b7b38f1ecc59860cf2bb3590
SHA-1   hash: 4f880ea203a0e93c736ed5a381fe99ab1f23c7e7
SHA-256 hash: e1daded1b379cb1595af17e00cdee8b1ee9daad1ced4d866cc776f02d7aeafff
SHA-512 hash: 098c76066bd5f70bba7a897aad1e7c913b5f923c73602575f30ca9b3b30575fa3aca47455b418291550c4092b25fd3090fd62107ee9f935c4502b0ca86e80deb

PointerToRawData=0x600，SizeOfRawData=0x1E00
.text节的文件偏移地址为0x600，大小为0x1E00

最后一个区段表项内容如下

[IMAGE_SECTION_HEADER]
0x408      0x0   Name:                          /92
0x410      0x8   Misc:                          0x520     
0x410      0x8   Misc_PhysicalAddress:          0x520     
0x410      0x8   Misc_VirtualSize:              0x520     
0x414      0xC   VirtualAddress:                0x21000   
0x418      0x10  SizeOfRawData:                 0x600     
0x41C      0x14  PointerToRawData:              0x17A00   
0x420      0x18  PointerToRelocations:          0x0       
0x424      0x1C  PointerToLinenumbers:          0x0       
0x428      0x20  NumberOfRelocations:           0x0       
0x42A      0x22  NumberOfLinenumbers:           0x0       
0x42C      0x24  Characteristics:               0x42100040
Flags: IMAGE_SCN_ALIGN_1024BYTES, IMAGE_SCN_ALIGN_16BYTES, IMAGE_SCN_ALIGN_1BYTES, IMAGE_SCN_ALIGN_256BYTES, IMAGE_SCN_ALIGN_4096BYTES, IMAGE_SCN_ALIGN_4BYTES, IMAGE_SCN_ALIGN_64BYTES, IMAGE_SCN_ALIGN_MASK, IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_MEM_DISCARDABLE, IMAGE_SCN_MEM_READ
Entropy: 1.384952 (Min=0.0, Max=8.0)
MD5     hash: c792483200c7bd47e0810b5db34918c1
SHA-1   hash: 60c426bd47d1e32908dec26c7f3e584e9108e784
SHA-256 hash: 079531fc13743c7eaeed23f8af25731b120eeab425dcea38573d3316aa7ab3ed
SHA-512 hash: 5c290766cef7422600372eb50f6b82d2b58a8ca0aab90767e0dc4140e70ea5c1b063a30624864cdc6544c2f7316bff69db686cfb118111733b5c85db2ec722c8

起始地址为0x408，一个[IMAGE_SECTION_HEADER]占40个字节，得到区段头表(节头表)结束位置在0x430-0x1的地方，0x430开始就是其他的内容。

但是0x430~0x600地址范围内的内容全0，如下所示

观察IMAGE_OPTIONAL_HEADER64中FileAlignment=0x200，即对齐为0x200，所以这里是因为对齐方式的原因才会出现全0，并且从0x600开始就是第一个区段表项中指向的数据在文件中的偏移地址。

到此得出结论节头表(区段头表)后面紧跟着的就是节的具体信息，但是会遵从对齐规则

并且第一个区段从0x600开始，占大小为0x1e00，结束位置在0x2400-0x01处，从0x2400开始正好就是第二个区段表项中指向的文件偏移地址。

而最后一个区段表项结束位置在0x17A00+0x600-0x1处。从0x18000再往后就是其他的内容。

下面再看一下上面提到过的数据目录表，如下所示

没有从文件向外导出任何内容，所以导出表内容全空。有导入内容，虚拟地址为0x8000，下面先转换成文件偏移地址。
用LordPE打开查看这个PE文件的区段信息，如下所示

得到导入表的文件偏移地址为0x3400，并且可以看到它是.idata节(区段)。
那就再回到刚才的17个区段表项去寻找，果然找到相关信息，如下所示

这个节的起始地址正好也是0x3400，这就证实了这个导入表的数据被当作了一个节(区段)。

再回去看0x18000开始的位置是什么

PointerToSymbolTable指向COFF符号表偏移指针，可以看到这是符号表的开始位置。

COFF符号表是一个由记录组成的数组，每个记录长18个字节。定义如下

typedef struct _IMAGE_SYMBOL
{
    union
    {
        BYTE ShortName[8];  //8字节名称
        struct
        {
            DWORD Short;   //过长时为0
            DWORD Long;    //偏移量
        }Name;    
        PBYTE LongName[2]; //两个指针，其中第二个是指向过长的节名称的，第一个为0（union）
    }N;
    DWORD Value;           //与符号相关的值
    SHORT SectionNumber;   //节表的索引，以标识定义这个符号的节
    WORD Type;             //一个表示类型的数字
    BYTE StorageClass;     //一个标识储存类别的枚举类型值
    BYTE NumberOfAuxSymbol;//在最后一个记录后的辅助符号表数量
}IMAGE_SYMBOL;

那么COFF符号表位置为0x18000~0x1e6f0。
再往后就是很多可打印的字符串组成的内容，如下所示

根据PE文件格式，猜测后面的内容都是附加的一些数据了。

最后根据以上实验结果，结合网上查询到的PE文件格式，画出一个更精细的PE文件格式图示，
如下所示