PE文件

格式

PE文件是windows操作系统下使用的可执行文件格式

1. 种类

可执行系列：EXE、SCR

驱动程序系列：SYS、VXD

库系列：DLL、OCX、CPL、DRV

对象文件系列：OBJ(本身不能以任何形式执行)

2. 基本结构

从DOS头到节区头是PE头部分，其下的节区合称PE体。文件中使用偏移，内存中使用VA来表示位置。文件加载到内存时，节区的大小、位置等就会发生变化。文件的内容一般可分为代码、数据、资源节，分别保存。

各节区头定义了各节区在文件或内存中的大小、位置、属性等。 PE头与各节区的尾部存在一个区域，成为NULL填充

3. VA & VRA

VA指的是进程虚拟内存的绝对地址，VRA指从某个基准位置开始的相对地址（PE头内部信息大多以PVA形式存在）

4. PE头

(1) DOS头

在PE头的最前面添加一个IMAGE_DOS_HEADER结构体，来扩展已有的DOS EXE头

(2) DOS存根

在DOS头下方，由代码和数据混合而成

(3) NT头

IMAGE_NT_HEADER结构体由三个成员组成：签名结构体、文件头、可选头

(4) NT头：文件头

表示文件大致属性的IMAGE_FILE_HEADER结构体，有4种重要成员：

1. Machine：每个CPU都拥有唯一的Machine码
2. NumberOfSections：用来指出文件中存在的节区数量
3. SizeOfOptionalHeader：用来指出IMAGE_OPTIONAL_HEADER结构体的长度
4. Characteristics:该字段用于标识文件的属性，文件是否是可运行的形态，是否为DLL文件等信息，以bit OR形式组合起来

(5) NT头：可选头

IMAGE_OPTIONAL_HEADER是PE头结构体中最大的

1. Magic：IMAGE_OPTIONAL_HEADER32结构体时，Magic码为10B。IMAGE_OPTIONAL_HEADER64结构体时，Magic码为20B
2. AddressOfEntryPoint：持有EP的RVA值
3. ImageBase：PE文件被加载到大的内存中时，ImageBase指出文件的优先装入地址
4. SectionAlignment，FileAlignment：前者指定了节区在内存中的最小单位，而后者指定了节区在磁盘文件中的最小单位
5. SizeOflmage：加载PE文件到内存中时，SizeFlmage指定了PE Image在虚拟内存中所占空间的大小
6. SizeOfHeaders：用来指出整个PE头的大小
7. Subsystem：其值用来区分系统驱动文件和普通的可执行文件
8. NumberOfPvaAndSizes：用来指定DataDiretory数组的个数
9. DataDiretory：是由IMAGE_DATA_HEADER结构体组成的数组，数组的每项都有被定义的值

(6) 节区头

PE文件格式把具有相似属性的数据统一保存在一个被称为“节区”的地方，然后需要把各节区的属性记录在节区头中。

节区头是由IMAGE_SECTION_HEADER结构体组成的数组，每个结构体对应一个节区

4. RVA to RAW

PE文件加载到内存时，每个节区都要能准确完成内存地址和文件偏移间的映射，方法如下：

1. 查找PVA所在节区
2. 使用简单的公式计算文件偏移

5. IAT

IAT保存的内容与windows操作系统的核心进程、内存、DLL结构等有关

(1) DLL

加载DLL的方式：

1. 显式链接：程序使用DLL时加载，使用完毕后释放内存
2. 隐式链接：程序开始时即一同加载DLL，程序终止时再释放占用的内存

(2) IMAGE_IMPORT_DESCRIPTOR

执行一个普通程序时往往需要导入多个库，导入多少库就存在多少个IMAGE_IMPORT_DESCRIPTOR结构体，这些结构体形成了数组，且结构体数组最后以NULL结构体结束

INT与IAT是长整型数组，以NULL结束

INT中各元素的值为IMAGE_IMPORT_BY_NAME结构体指针

INT与IAT的大小相同