• <ins id="pjuwb"></ins>
    <blockquote id="pjuwb"><pre id="pjuwb"></pre></blockquote>
    <noscript id="pjuwb"></noscript>
          <sup id="pjuwb"><pre id="pjuwb"></pre></sup>
            <dd id="pjuwb"></dd>
            <abbr id="pjuwb"></abbr>

            Tiany 's Blog

            奮斗的路上肯定會遇到很多困難 該不該繼續?

              C++博客 :: 首頁 :: 聯系 :: 聚合  :: 管理
              15 Posts :: 1 Stories :: 28 Comments :: 0 Trackbacks

            常用鏈接

            留言簿(1)

            我參與的團隊

            搜索

            •  

            最新評論

            閱讀排行榜

            評論排行榜

            PE的意思就是這個 the Protable Executable (PE) file format 微軟搞得那么一套東西,字面意思是可移植的,但是現實使用中沒見他多么的可移植,PE格式借鑒了UNIX系統中的COFF (Common Object File Format) 格式。而且PE對MS-Dos的兼容,保留了MS-Dos頭,在dos下打開會提示 “這是win32程序在dos下不能跑” 向下兼容,非常的友好。

            MS-DOS MZ header 的結構是這樣的

            MS-DOS MZ header

            typedef struct _IMAGE_DOS_HEADER {      // DOS .EXE header
                WORD   e_magic;                     // Magic number
                WORD   e_cblp;                      // Bytes on last page of file
                WORD   e_cp;                        // Pages in file
                WORD   e_crlc;                      // Relocations
                WORD   e_cparhdr;                   // Size of header in paragraphs
                WORD   e_minalloc;                  // Minimum extra paragraphs needed
                WORD   e_maxalloc;                  // Maximum extra paragraphs needed
                WORD   e_ss;                        // Initial (relative) SS value
                WORD   e_sp;                        // Initial SP value
                WORD   e_csum;                      // Checksum
                WORD   e_ip;                        // Initial IP value
                WORD   e_cs;                        // Initial (relative) CS value
                WORD   e_lfarlc;                    // File address of relocation table
                WORD   e_ovno;                      // Overlay number
                WORD   e_res[4];                    // Reserved words
                WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
                WORD   e_oeminfo;                   // OEM information; e_oemid specific
                WORD   e_res2[10];                  // Reserved words
                LONG   e_lfanew;                    // File address of new exe header
              }
             IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;


            其中比較關鍵的成員是這個 e_lfanew 它指向了PE文件頭在PE文件中的相對虛擬地址RAV(Relative Virtual Addresses),e_magic的值應該等于 0x5A4D 是MS-DOS MZ header的標志 MZ好像是個程序員名字的縮寫 其他成員基本沒啥大用,一些加殼軟件會修改它的成員為自己的節騰出空間,或者在添加節形式感染時節表尾部的空隙不夠寫入一個新的解表結構的時候把IMAGE_DOS_HEADE 和 IMAGE_NT_HEADER 融合。

            可以自己寫一個小程序來輸出一下IMAGE_DOS_HEADE

            IMAGE_DOS_HEADE這個結構體定義在windows.h中

            系統加載PE格式的文件時,會先加載IMAGE_DOS_HEADE這個結構體,再根據結構體里的e_lfanew提供的相對偏移找到PE文件頭。


            用c語言可以直接讀出IMAGE_DOS_HEADE這個結構體,下面開始寫。

            從文件的開始位置讀取IMAGE_DOS_HEADE結構體

            fread(&mydosheader,sizeof(mydosheader),1,p);

            吧文件指針移動到e_lfanew所指的相對偏移,即PE文件頭

            fseek(p,mydosheader.e_lfanew,SEEK_SET);


            讀取PE文件標志,這個PE Signature是 PE\0\0 這樣一個值,證明它是PE格式的身份。

            fread(&sig,4,1,p);

            這個判斷中大寫的變量都是,windows.h中的常數

             

            IMAGE_NT_SIGNATURE 的值是 PE\0\0

            IMAGE_DOS_SIGN

            ATURE 的值是 MZ

            具體的定義可以自己去windows.h中看


             if((mydosheader.e_magic ==IMAGE_DOS_SIGNATURE) &&
                    (sig
            == IMAGE_NT_SIGNATURE))
                   printf(
            "有效的PE文件/n");
                
            else
                  printf(
            "無效的PE文件/n");
                
            return 0;

            下面是完整的程序

            #include "windows.h"
            #include
            "stdio.h"

            int main(int argc, char* argv[])
            {
                FILE
            *p;
                IMAGE_DOS_HEADER mydosheader;
                unsigned
            long sig;

                p
            = fopen("test1.exe","r+b");
                
            if(p == NULL)return -1;

                fread(
            &mydosheader,sizeof(mydosheader),1,p);
                fseek(p,mydosheader.e_lfanew,SEEK_SET);
                fread(
            &sig,4,1,p);
                fclose(p);

                printf(
            "IMAGE_DOS_HEADER dump:/n");
                printf(
            "e_magic  : %04x/n",mydosheader.e_magic);
                printf(
            "e_cblp  : %04x/n",mydosheader.e_cblp);
                printf(
            "e_cp   : %04x/n",mydosheader.e_cp);
                printf(
            "e_crlc  : %04x/n",mydosheader.e_crlc);
                printf(
            "e_cparhdr : %04x/n",mydosheader.e_cparhdr);
                printf(
            "e_minalloc: %04x/n",mydosheader.e_minalloc);
                printf(
            "e_maxalloc: %04x/n",mydosheader.e_maxalloc);
                printf(
            "e_ss   : %04x/n",mydosheader.e_ss);
                printf(
            "e_sp   : %04x/n",mydosheader.e_sp);
                printf(
            "e_csum  : %04x/n",mydosheader.e_csum);
                printf(
            "e_ip   : %04x/n",mydosheader.e_ip);
                printf(
            "e_cs   : %04x/n",mydosheader.e_cs);
                printf(
            "e_lfarlc : %04x/n",mydosheader.e_lfarlc);
                printf(
            "e_ovno  : %04x/n",mydosheader.e_ovno);
                printf(
            "e_res[0] : %04x/n",mydosheader.e_res[0]);
                printf(
            "e_oemid  : %04x/n",mydosheader.e_oemid);
                printf(
            "e_oeminfo : %04x/n",mydosheader.e_oeminfo);
                printf(
            "res2[0]  : %04x/n",mydosheader.e_res2[0]);
                printf(
            "lfanew  : %08x/n",mydosheader.e_lfanew);


                
            if((mydosheader.e_magic ==IMAGE_DOS_SIGNATURE) &&
                    (sig
            == IMAGE_NT_SIGNATURE))
                   printf(
            "有效的PE文件/n");
                
            else
                  printf(
            "無效的PE文件/n");
                
            return 0;
            }



            最后附上參考文章的地址

             

            http://xue23.blog.163.com/blog/static/9793442005431142120/

            http://bbs.fishc.com/home.php?mod=space&uid=9&do=blog&id=558

            Peering Inside the PE.pdf

             

            http://xue23.blog.163.com/blog/static/9793442005431142120/


            posted on 2012-04-08 22:24 Tiany 閱讀(719) 評論(0)  編輯 收藏 引用 所屬分類: 逆向破解
            久久人人爽人人爽人人片av麻烦 | 国产精品成人99久久久久 | 亚洲中文字幕久久精品无码APP| 久久一区二区三区免费| 久久人人爽人人爽人人片AV东京热| 亚洲精品乱码久久久久66| 久久午夜电影网| 久久久一本精品99久久精品88| www性久久久com| 久久久亚洲裙底偷窥综合| 久久线看观看精品香蕉国产| 99精品国产免费久久久久久下载 | 亚洲国产成人久久一区WWW| 亚洲国产精品无码久久SM| 99热精品久久只有精品| 午夜精品久久久久久毛片| 久久国产视屏| 国产ww久久久久久久久久| 一本色道久久综合狠狠躁| 日本精品久久久久影院日本 | 久久精品国产网红主播| 国产亚洲精午夜久久久久久| 欧美熟妇另类久久久久久不卡| 久久人人爽人人澡人人高潮AV| 精品无码久久久久国产| yy6080久久| 久久久久精品国产亚洲AV无码| 久久激情五月丁香伊人| 热re99久久精品国产99热| 久久99精品久久只有精品| 久久久久久精品无码人妻| 亚洲欧洲久久久精品| 久久久久99精品成人片三人毛片| 国产精品视频久久| 狠狠色丁香婷综合久久| 国产精品9999久久久久| 国产91色综合久久免费| 欧美伊香蕉久久综合类网站| 99久久99久久精品国产| 久久精品无码一区二区三区免费 | 久久亚洲精品视频|