Winhex在PE文件格式剖析中的教學(xué)應(yīng)用

2014-12-25 05:03:26姚罡

科技視界 2014年26期

關(guān)鍵詞：分析

姚罡

（桂林電子科技大學(xué)，廣西桂林541004）

0 引言

PE（Portable Execute）文件被稱為可移植的執(zhí)行體，是微軟制定的一種文件標(biāo)準(zhǔn)，常見的EXE、DLL、OCX、SYS、COM都是PE文件，在Windows操作系統(tǒng)中舉足輕重。在加密與解密、軟件漢化、逆向工程、反病毒等安全領(lǐng)域都涉及到PE文件的應(yīng)用。

但PE文件格式定義復(fù)雜，難以理解，導(dǎo)致入門較難，學(xué)生很難深入去研究。通過多媒體教學(xué)，課堂上直接利用Winhex打開任意EXE文件或DLL文件，從原始的十六進(jìn)制找到我們感興趣的值，可以明了地分析出Windows操作系統(tǒng)如何載入EXE文件及DLL文件的工作機(jī)制，將抽象的格式定義以直觀、互動的方式展示給學(xué)生，提高學(xué)生的學(xué)習(xí)興趣。

本文介紹了如何應(yīng)用Winhex理解PE文件的教學(xué)過程，以研究輸入表和輸入地址表為例，并對兩者的運(yùn)行機(jī)制進(jìn)行分析，使得學(xué)生理解Windows操作系統(tǒng)如何載入PE文件，以及可執(zhí)行文件如何調(diào)用API函數(shù)。

1 Winhex軟件簡介

winhex是一款以十六進(jìn)制編輯器為核心的數(shù)據(jù)處理高級工具，可以直接打開硬盤上的文件和內(nèi)存，并以十六進(jìn)制形式顯示數(shù)據(jù)，可以實(shí)現(xiàn)數(shù)據(jù)恢復(fù)、低級數(shù)據(jù)處理等強(qiáng)大功能，可分析RAW格式原始數(shù)據(jù)鏡像文件中的完整目錄結(jié)構(gòu)。Winhex可用于分析靜態(tài)PE文件（硬盤上）和動態(tài)PE文件（調(diào)入內(nèi)存后），并通過靜、動態(tài)PE文件的比較，重點(diǎn)討論兩個非常重要的數(shù)據(jù)結(jié)構(gòu)：輸入表和輸入地址表，從而掌握Windows操作系統(tǒng)中PE文件的工作機(jī)制。

2 PE文件格式分析

通過理解PE文件格式中的字段，可以逐步理解PE文件的結(jié)構(gòu)及其原理。PE文件格式如圖1所示。所有的PE文件都是從MS-DOS頭開始，該頭部后面的是PE頭，其位置可從MS-DOS頭中的一個e_lfanew字段的值得到，PE頭是由PE Signature、IMAGE_FILE_HEADER、IMAGE_OPTIONAL_HEADER構(gòu)成，在IMAGE_NT_HEADERS頭部后面是節(jié)表(Section Table)，節(jié)表是一個數(shù)組，數(shù)組中的每一個元素用來描述后繼每一節(jié)的信息，如節(jié)名、節(jié)大小、節(jié)偏移、節(jié)屬性等。在節(jié)表后面是具體的節(jié)，如代碼節(jié)(.text)、數(shù)據(jù)節(jié)(.data)等，PE文件中非常重要的輸入表、輸出表等就存在上述節(jié)中。

圖1 PE文件格式

2.1 判斷合法PE文件

利用Winhex打開一個可執(zhí)行文件thunder.exe（迅雷安裝程序），通過對字段值的分析，即DOS頭的“MZ”和PE頭的“PE”這兩個標(biāo)志可以初步判斷當(dāng)前程序是否是目標(biāo)是PE文件。也就是通過IMAGE_DOS_HEADER結(jié)構(gòu)來識別一個合法的DOS頭，可以看到文件起始為0X4D5AH（“MZ”），接著通過該結(jié)構(gòu)的e_lfanew(偏移3CH，32bits)的值是0x00000118H（注意字節(jié)序）即為PE頭開始的偏移，定位到該偏移，其值為PE文件開始的標(biāo)志0X00004550H(“PE