病毒的發(fā)展與技術(shù)fazhanyujishu-資料下載頁(yè)
2024-10-09 16:45本頁(yè)面
【正文】 整個(gè) PE映像體的尺寸。 SizeOfHeaders 所有頭 +節(jié)表的大小，也就等于文件尺寸減去文件中所有節(jié)的尺寸?？梢砸源酥底鳛?PE文件第一節(jié)的文件偏移量。 Subsystem NT用來(lái)識(shí)別 PE文件屬于哪個(gè)子系統(tǒng)。 DataDirectory 一 IMAGE_DATA_DIRECTORY 結(jié)構(gòu)數(shù)組。每個(gè)結(jié)構(gòu)給出一個(gè)重要數(shù)據(jù)結(jié)構(gòu)的 RVA，比如引入地址表等。 DataDirectory數(shù)據(jù)目錄 ? 一個(gè) IMAGE_DATA_DIRECTORY數(shù)組，里面放的是這個(gè)可執(zhí)行文件的一些重要部分的 RVA和尺寸，目的是使可執(zhí)行文件的裝入更快，數(shù)組的項(xiàng)數(shù)由上一個(gè)域給出。IMAGE_DATA_DIRECTORY包含有兩個(gè)域，如下： IMAGE_DATA_DIRECTORY VitualAddress DD? Size DD? IMAGE_DATA_DIRECTORY ENDS 節(jié)表 ? 節(jié)表其實(shí)就是緊挨著 PE header 的一結(jié)構(gòu)數(shù)組。該數(shù)組成員的數(shù)目由 file header (IMAGE_FILE_HEADER) 結(jié)構(gòu)中 NumberOfSections 域的域值來(lái)決定。節(jié)表結(jié)構(gòu)又命名為 IMAGE_SECTION_HEADER。 ? 結(jié)構(gòu)中放的是一個(gè)節(jié)的信息，如名字、地址、長(zhǎng)度、屬性等。 IMAGE_SECTION_HEADER 順序 名字 大?。ㄗ止?jié)） 描述 1 Name * 8 節(jié)名 2 PhysicalAddress或VirtualSize 4 OBJ文件用作表示本節(jié)物理地址EXE文件中表示節(jié)的真實(shí)尺寸 3 Virtual * 4 這個(gè)值 +映像基地址 =本節(jié)在內(nèi)存中的真正地址。 OBJ中無(wú)意義。 4 SizeOfRawData * 4 本節(jié)的原始尺寸 5 PointerToRawData * 4 本節(jié)原始數(shù)據(jù)在文件中的位置 IMAGE_SECTION_HEADER 順序 名字 大?。ㄗ止?jié)） 描述 6 PointerToRelocations 4 OBJ中表示該節(jié)重定位信息的偏移EXE文件中無(wú)意義 7 PointerToLinenumbers 4 行號(hào)偏移 8 NumberOfRelocations 2 本節(jié)要重定位的數(shù)目 9 NumberOfLinenumbers 2 本節(jié)在行號(hào)表中的行號(hào)數(shù)目 10 Characteristics * 4 節(jié)屬性 節(jié) “節(jié)（ Section)”跟在節(jié)表之后，一般 PE文件都有幾個(gè) “ 節(jié) ” 。比較常見的有： ? 代碼節(jié) ? 已初始化的數(shù)據(jù)節(jié) ? 未初始化的數(shù)據(jù)節(jié) ? 資源節(jié) ? 引入函數(shù)節(jié) ? 引出函數(shù)節(jié) 代碼節(jié) ? 代碼節(jié)一般名為 .text或 CODE，該節(jié)含有程序的可執(zhí)行代碼。 ? 每個(gè) PE文件都有代碼節(jié) ? 在代碼節(jié)中，還有一些特別的數(shù)據(jù)，是作為調(diào)用映入函數(shù)之用。如： Call MessageBoxA的調(diào)用，反匯編后該指令被換為 call 0040101A,而地址 0040101A仍在 .text中，它放有一個(gè)跳轉(zhuǎn)指令 jmp dword ptr[0040304c],即這條跳轉(zhuǎn)指令的目的地址處于 .idata節(jié)中的 0040304C處，其中放的才是MessageBoxA的真正地址，如下圖： 已初始化的數(shù)據(jù)節(jié) ? 這個(gè)節(jié)一般取名為 .data或 DATA ? 已初始化的數(shù)據(jù)節(jié)中放的是在編譯時(shí)刻就已確定的數(shù)據(jù)。如 Hello World 中的字符串“ Hello World!”。 未初始化的數(shù)據(jù)節(jié) ? 這個(gè)節(jié)的名稱一般叫 .bbs。 ? 這個(gè)節(jié)里放有未初始化的全局變量和靜態(tài)變量。 資源節(jié) ? 資源節(jié)一般名為 .rsrc ? 這個(gè)節(jié)放有如圖標(biāo)、對(duì)話框等程序要用到的資源。 ? 資源節(jié)是樹形結(jié)構(gòu)的，它有一個(gè)主目錄，主目錄下又有子目錄，子目錄下可以是子目錄或數(shù)據(jù)。 ? 都是一個(gè) IMAGE_RESOURCE_DIRECTORY結(jié)構(gòu)。結(jié)構(gòu)如下： IMAGE_RESOURCE_DIRECTORY 結(jié)構(gòu) 順序 名字 大小（字節(jié)） 描述 1 Characteritics 4 通常為 0 2 TimeDateStamp 4 資源生成時(shí)間 3 MajorVersion 2 主版本號(hào) 4 MinorVersion 2 次版本號(hào) 5 NumberOfNamedEntries 2 以名字標(biāo)識(shí)的資源數(shù) 6 NumberOfldEntries 2 以 ID標(biāo)識(shí)的資源數(shù) 引入函數(shù)節(jié) ? 一個(gè)引入函數(shù)是被某模塊調(diào)用的但又不在調(diào)用者模塊中的函數(shù) ? 這個(gè)節(jié)一般名為 .idata，也叫引入表。 ? 它包含從其它（系統(tǒng)或第三方寫的） DLL中引入的函數(shù)，例如 、 。 ? 它的開始是一個(gè)IMAGE_IMPORT_DESCRIPTOR數(shù)組。這個(gè)數(shù)組的長(zhǎng)度不定，但他的最后一項(xiàng)是全 0，可以以此判斷數(shù)組的結(jié)束。 ^_^ 謝謝！
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1