📠 Secure

Window PE

Windows PE 구조

1. Windows Preinstallation Environment
2. Windows Portable Executable

1. Dos Header > 시그니처 코드 : MZ (4D 5A)
2. Dos Stub > 의미 없는 코드로 마음대로 변경해도 실행에 문제가 없다
3. NT Header
3-1) Signature > 시그니처 코드 : PE(50 45)

3-2) File Header

WORD  Machine; > 현재 컴퓨터의 종류 : 01 4C ( 더블워드 후에 나왔기에 뒤집힘 )
WORD  NumberOfSections; > 섹션의 개수 : 00 03 ( 더블워드 후에 나왔기에 뒤집힘 )
DWORD TimeDateStamp; > 생성 시간 : 48 02 52 87 ( 더블워드 후에 나왔기에 뒤집힘 ) https://opentechtips.com/integer8/ Mon, 01 Jan 1601 09:00:04 GMT
DWORD PointerToSymbolTable;
DWORD NumberOfSymbols;
WORD  SizeOfOptionalHeader;> Optional Header의 크기 : 00 E0 ( 더블워드 후에 나왔기에 뒤집힘 ) 224
WORD  Characteristics; > 해당 파일의 기능 01 0F ( 0x0001 + 0x0002 + 0x0004 + 0x0008 + 0x0100 = 0x010F )

3-3) Optional Header

Windows PE

1. Windows Preinstallation Environment
2. Windows Portable Executable

1. Dos Header > 시그니처 코드 : MZ (4D 5A)
2. Dos Stub > 의미 없는 코드로 마음대로 변경해도 실행에 문제가 없다
3. NT Header
3-1) Signature > 시그니처 코드 : PE(50 45)

3-2) File Header
WORD Machine; > 현재 컴퓨터의 종류 : 01 4C ( 더블워드 후에 나왔기에 뒤집힘 )
WORD NumberOfSections; > 섹션의 개수 : 00 03 ( 더블워드 후에 나왔기에 뒤집힘 )
DWORD TimeDateStamp; > 생성 시간 : 48 02 52 87 ( 더블워드 후에 나왔기에 뒤집힘 ) https://opentechtips.com/integer8/

Mon, 01 Jan 1601 09:00:04 GMT

DWORD PointerToSymbolTable;
DWORD NumberOfSymbols;
WORD SizeOfOptionalHeader;> Optional Header의 크기 : 00 E0 ( 더블워드 후에 나왔기에 뒤집힘 ) 224
WORD Characteristics; > 해당 파일의 기능 01 0F ( 0x0001 + 0x0002 + 0x0004 + 0x0008 + 0x0100 = 0x010F )

3-3) Optional Header
WORD Magic; > 실행 파일의 종류 01 0B
BYTE MajorLinkerVersion;
BYTE MinorLinkerVersion;
DWORD SizeOfCode;
DWORD SizeOfInitializedData;
DWORD SizeOfUninitializedData;
DWORD AddressOfEntryPoint; > 파일이 메모리 위에 올라갈 때 시작점이 되는 주소 00 00 73 9D
DWORD BaseOfCode; > 코드 영역의 시작점
DWORD BaseOfData; > 데이터 영역의 시작점
DWORD ImageBase; > 01 00 00 00 ( 기준점 )
DWORD SectionAlignment; > 메모리 형태일 때 배수의 기준
DWORD FileAlignment; > 파일 형태일 때 배수의 기준
WORD MajorOperatingSystemVersion; >
WORD MinorOperatingSystemVersion; >
WORD MajorImageVersion; >
WORD MinorImageVersion; >
WORD MajorSubsystemVersion; >
WORD MinorSubsystemVersion; >
DWORD Win32VersionValue; >
DWORD SizeOfImage; > 메모리 형태일 때 크기
DWORD SizeOfHeaders; > 헤더의 크기
DWORD CheckSum; >
WORD Subsystem; > 실행 했을때 실행 화면 ( GUI, CUI )
WORD DllCharacteristics;
DWORD SizeOfStackReserve;
DWORD SizeOfStackCommit;
DWORD SizeOfHeapReserve;
DWORD SizeOfHeapCommit;
DWORD LoaderFlags;
DWORD NumberOfRvaAndSizes;
IMAGE_DATA_DIRECTORY DataDirectory

4. Text(Code) Header
5. Data Header
6. Resource Header

7. Text(Code) Section
8. Data Section
9. Resource Section

4. Text(Code) Header
5. Data Header
6. Resource Header

7. Text(Code) Section
8. Data Section
9. Resource Section

Image_NT_headers32

- Signature

- Image_File_headers32

- Image_Optional_header32
- address of entry point
- Image base

RVA (realative virture address) - 상대 주소
VA(virture address) - 절대 주소

32bit 컴퓨터 - 최대 4G 메모리 사용 가능

Section Alignment : 00 00 10 00 ( 1000 단위 )
File Alignment : 00 00 02 00 ( 200 단위 )
-- 클러스터와 비슷한 역할을 한다
section = 메모리
file = 파일

Number Of Rva And Sizes : 00 00 00 10
- Image_DATA_DIRECTORY 의 배열 개수

16개 Data Driectory가 존재한다

158부터 시작
Data Directory[0] > Export
> 0000 0000 / 0000 0000
Data Diretcory[1] > Import
> 0000 7604 / 0000 00C8
..
..
..
Data Directory[F] >
--- 위에서 구한 주소값은 나중에 INT IAT와 EAT에서 사용할 예정
INT = Import Name Table
IAT = Import Application Table
EAT = Export Application Table

각 영역별(text,data,rsrc) 헤더 보기

영역별 헤더의 구조는 전부 동일하다

typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize; 			# 메모리에서 섹션이 차지하는 크기
  } Misc;
  DWORD VirtualAddress;			# 메모리에서 섹션이 시작하는 주소 ( RVA )
  DWORD SizeOfRawData;			# 파일에서 섹션이 차지하는 크기
  DWORD PointerToRawData;		# 파일에서 섹션이 시작하는 주소
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;		# 속성
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;