PE 文件格式 详解 二

Posted 2020-10-13

内容引用自：看雪《逆向工程原理》，http://www.blogfshare.com/pe-header-one.html 。如有错误，欢迎留言。

1、 区块表（节表）

　　区块表紧跟在PE头后面，所有区块的属性都被定义在区块表中。区块表中的数据仅仅是因为属性相同被放到一起，对程序的各种方法、数据的追溯还是要用到DataDirectory。

　　区块表是由一组IMAGE_SETION_HEADER结构组成，每个结构描述一个区块，各结构的排列顺序与其所描述的区块在文件中的排列顺序是一致的。

　　区块表最后以一个空的IMAGE_SETION_HEADER结构作为结尾。IMAGE_SETION_HEADER （长度为28h）定义如下：

　　#define IMAGE_SIZEOF_SHORT_NAME  8

　　typedef strutct _IMAGE_SETION_HEADER {

　　　　BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];      //注意   此处是 8 个字节

　　　　union {

　　　　　　DWORD PhysicalAddress;

　　　　　　DWORD VirtualSize;　　　　　　// 区块的大小

　　　　}

　　　　DWORD VirtualAddress;         // 节区的 RVA 地址
　　　　DWORD SizeOfRawData;            // 在文件中对齐后的尺寸
　　　　DWORD PointerToRawData;        // 在文件中的偏移量
　　　　DWORD PointerToRelocations;     // 在OBJ文件中使用，重定位的偏移，无用
　　　　DWORD PointerToLinenumbers;   // 行号表的偏移（供调试使用地），无用
　　　　WORD NumberOfRelocations;      // 在OBJ文件中使用，重定位项数目，无用
　　　　WORD NumberOfLinenumbers;    // 行号表中行号的数目，无用
　　　　DWORD Characteristics;       // 节属性如可读，可写，可执行等　　

　　} IMAGE_SETION_HEADER

　　需要注意的点：

　　Name：区块名   实际上没有任何意义，只要不重复可以任意命名，设置为特定的名字仅仅是正规编程方便查看。

　　VirtualSize：对应区块的实际大小，未进行对齐处理前的大小

　　VirtualAddress：对应区块装入内存中的RVA地址

　　SizeOfRawData：对应区块在磁盘中的大小，在可执行文件中，该值是已经被FileAligment处理过的长度。

　　PointerToRawData：对应区块在磁盘中的偏移，从文件头开始算起

　　Characteristics：按位指出对应区块的属性 （bit OR），常见值如下：

　　

　　此处涉及到RVA to RAW，即 相对虚拟地址 到 文件物理偏移地址的转换。比如在DataDirectory中存放的为RVA地址，就需要转换为物理偏移。

　　其转换方法为：RVA  - VisualAddress + PointerToRawData

 2、 导入表

　　导入表是要提供程序执行时需要调用的导入函数的所属DLL、函数名、内存地址等。该表在区块中，由DataDirectory第二个数组项指向。

　　导入表是由一组IMAGE_IMPORT_DESCRIPTOR结构组成，结构的数量取决于程序要使用的DLL文件的数量，每一个结构对应一个DLL文件，以一个内容全为 0 的IMAGE_IMPORT_DESCRIPTOR作为结束。

　　IMAGE_IMPORT_DESCRIPTOR定义：

　　typedef  struct _IMAGE_IMPORT_DESCRIPTOR {

　　　　union {

　　　　　　DWORD  Characteristics;          

　　　　　　DWORD  OriginalFirstThunk;　　　　#一般定义该值，指向 INT （Import Name Table）  RVA

　　　　}；

　　　　DWORD  TimeDateStamp;

　　　　DWORD  ForwarderChain;

　　　　DWORD  Name;　　　　　　　　　　　　#指向 DLL 名称 的地址   RVA

　　　　DWORD  FirstThunk;　　　　　　　　　　#指向 IAT （Import Address Table）    RVA

　　} IMAGE_IMPORT_DESCRIPTOR;

　　需要注意的点：

　　Name ：  不会直接给出DLL的名字   此处是一个RVA 地址。   该地址指向了 DLL 名称。

　　OriginalFirstThunk 和 FirstThunk ： 有些是相同的  有些是不同的。  虽然一个指向 INT  一个指向 IAT ，但实际这两个表均是由一系列 IMAGE_THUNK_DATA结构组成的数组。数组最后以一个全为0 的结构作为结束。

　　IMAGE_THUNK_DATA 定义如下：

　　typedef  _IMAGE_THUNK_DATA {

　　　　union {

　　　　　　DWORD  ForwarderString;　　　　　　#RVA  指向forwarder string

　　　　　　DWORD  Function;　　　　　　　　#被导入函数的入口地址

　　　　　　DWORD  Ordinal;　　　　　　　　　　#该函数的序数

　　　　　　DWORD  AddressOfData;　　　　　　#指向 IMAGE_IMPORT_BY_NAME 结构体

　　　　};

　　} IMAGE_THUNK_DATA32

　　对于可执行文件，IMAGE_THUNK_DATA 中存储的要么是 Ordinal（最高位为1，其余31位为序号）  要么是AddressOfData。在DLL中对每个函数都进行了编号，访问函数即可以通过名称访问，也可以通过编号访问（还不懂怎么根据Ordinal找到函数~~，求大神指导）。

　　当IMAGE_THUNK_DATA存放的为 AddressOfData 时，该地址指向一个 IMAGE_IMPORT_BY_NAME 结构体

　　IMAGE_IMPORT_BY_NAME 定义如下：

　　typedef struct _IMAGE_IMPORT_BY_NAME {

　　　　WORD  Hint;　　　　　　　　#Ordinal    函数的序号

　　　　BYTE  Name[1];　　　　　　　　#此处为函数名字，实际为变长数组，以00结尾，即字符串结束符

　　} IMAGE_IMPORT_BY_NAME

 

　　常见寻找导入函数的方法：

　　根据 DataDirectory 中RVA 找到 导入表的文件偏移地址， 根据 OriginalFirstThunk 找到 INT (Import Name Table)， 根据 AddressOfData 找到 IMAGE_IMPORT_BY_NAME 即可找到函数名。