驅動開發：內核解析PE結構節表

来源:https://www.cnblogs.com/LyShark/archive/2023/06/01/17143681.html
-Advertisement-
Play Games

在筆者上一篇文章`《驅動開發：內核解析PE結構導出表》`介紹瞭如何解析記憶體導出表結構，本章將繼續延申實現解析PE結構的PE頭，PE節表等數據，總體而言內核中解析PE結構與應用層沒什麼不同，在上一篇文章中`LyShark`封裝實現了`KernelMapFile()`記憶體映射函數，在之後的章節中這個函數... ...


在筆者上一篇文章《驅動開發：內核解析PE結構導出表》介紹瞭如何解析記憶體導出表結構，本章將繼續延申實現解析PE結構的PE頭，PE節表等數據，總體而言內核中解析PE結構與應用層沒什麼不同，在上一篇文章中LyShark封裝實現了KernelMapFile()記憶體映射函數，在之後的章節中這個函數會被多次用到，為了減少代碼冗餘，後期文章只列出重要部分，讀者可以自行去前面的文章中尋找特定的片段。

Windows NT 系統中可執行文件使用微軟設計的新的文件格式，也就是至今還在使用的PE格式，PE文件的基本結構如下圖所示：

在PE文件中,代碼,已初始化的數據,資源和重定位信息等數據被按照屬性分類放到不同的Section(節區/或簡稱為節)中,而每個節區的屬性和位置等信息用一個IMAGE_SECTION_HEADER結構來描述,所有的IMAGE_SECTION_HEADER結構組成了一個節表(Section Table),節表數據在PE文件中被放在所有節數據的前面.

上面PE結構圖中可知PE文件的開頭部分包括了一個標準的DOS可執行文件結構，這看上去有些奇怪，但是這對於可執行程式的向下相容性來說卻是不可缺少的，當然現在已經基本不會出現純DOS程式了，現在來說這個IMAGE_DOS_HEADER結構純粹是歷史遺留問題。

DOS頭結構解析： PE文件中的DOS部分由MZ格式的文件頭和可執行代碼部分組成，可執行代碼被稱為DOS塊(DOS stub)，MZ格式的文件頭由IMAGE_DOS_HEADER結構定義，在C語言頭文件winnt.h中有對這個DOS結構詳細定義,如下所示：

typedef struct _IMAGE_DOS_HEADER { 
    WORD   e_magic;                     // DOS的頭部
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // 指向了PE文件的開頭(重要)
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

在DOS文件頭中，第一個欄位e_magic被定義為MZ,標志著DOS文件的開頭部分,最後一個欄位e_lfanew則指明瞭PE文件的開頭位置，現在來說除了第一個欄位和最後一個欄位有些用處，其他欄位幾乎已經廢棄了，這裡附上讀取DOS頭的代碼。

void DisplayDOSHeadInfo(HANDLE ImageBase)
{
    PIMAGE_DOS_HEADER pDosHead = NULL;
    pDosHead = (PIMAGE_DOS_HEADER)ImageBase;

    printf("DOS頭：        %x\n", pDosHead->e_magic);
    printf("文件地址：     %x\n", pDosHead->e_lfarlc);
    printf("PE結構偏移：   %x\n", pDosHead->e_lfanew);
}

PE頭結構解析： 從DOS文件頭的e_lfanew欄位向下偏移003CH的位置，就是真正的PE文件頭的位置，該文件頭是由IMAGE_NT_HEADERS結構定義的，定義結構如下：

typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature;                   // PE文件標識字元
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

如上PE文件頭的第一個DWORD是一個標誌，預設情況下它被定義為00004550h也就是P,E兩個字元另外加上兩個零，而大部分的文件屬性由標誌後面的IMAGE_FILE_HEADER和IMAGE_OPTIONAL_HEADER32結構來定義，我們繼續跟進IMAGE_FILE_HEADER這個結構：

typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;                  // 運行平臺
    WORD    NumberOfSections;         // 文件的節數目
    DWORD   TimeDateStamp;            // 文件創建日期和時間
    DWORD   PointerToSymbolTable;     // 指向符號表(用於調試)
    DWORD   NumberOfSymbols;          // 符號表中的符號數量
    WORD    SizeOfOptionalHeader;     // IMAGE_OPTIONAL_HANDLER32結構的長度
    WORD    Characteristics;          // 文件的屬性 exe=010fh dll=210eh
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

繼續跟進 IMAGE_OPTIONAL_HEADER32 結構，該結構體中的數據就豐富了，重要的結構說明經備註好了：

typedef struct _IMAGE_OPTIONAL_HEADER {
    WORD    Magic;
    BYTE    MajorLinkerVersion;           // 連接器版本
    BYTE    MinorLinkerVersion;
    DWORD   SizeOfCode;                   // 所有包含代碼節的總大小
    DWORD   SizeOfInitializedData;        // 所有已初始化數據的節總大小
    DWORD   SizeOfUninitializedData;      // 所有未初始化數據的節總大小
    DWORD   AddressOfEntryPoint;          // 程式執行入口RVA
    DWORD   BaseOfCode;                   // 代碼節的起始RVA
    DWORD   BaseOfData;                   // 數據節的起始RVA
    DWORD   ImageBase;                    // 程式鏡像基地址
    DWORD   SectionAlignment;             // 記憶體中節的對其粒度
    DWORD   FileAlignment;                // 文件中節的對其粒度
    WORD    MajorOperatingSystemVersion;  // 操作系統主版本號
    WORD    MinorOperatingSystemVersion;  // 操作系統副版本號
    WORD    MajorImageVersion;            // 可運行於操作系統的最小版本號
    WORD    MinorImageVersion;
    WORD    MajorSubsystemVersion;        // 可運行於操作系統的最小子版本號
    WORD    MinorSubsystemVersion;
    DWORD   Win32VersionValue;
    DWORD   SizeOfImage;                  // 記憶體中整個PE映像尺寸
    DWORD   SizeOfHeaders;                // 所有頭加節表的大小
    DWORD   CheckSum;
    WORD    Subsystem;
    WORD    DllCharacteristics;
    DWORD   SizeOfStackReserve;           // 初始化時堆棧大小
    DWORD   SizeOfStackCommit;
    DWORD   SizeOfHeapReserve;
    DWORD   SizeOfHeapCommit;
    DWORD   LoaderFlags;
    DWORD   NumberOfRvaAndSizes;          // 數據目錄的結構數量
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

IMAGE_DATA_DIRECTORY數據目錄列表，它由16個相同的IMAGE_DATA_DIRECTORY結構組成，這16個數據目錄結構定義很簡單僅僅指出了某種數據的位置和長度，定義如下：

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;      // 數據起始RVA
    DWORD   Size;                // 數據塊的長度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

上方的結構就是PE文件的重要結構，接下來將通過編程讀取出PE文件的開頭相關數據，讀取這些結構也非常簡單代碼如下所示。

// 署名權
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: [email protected]

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark.com \n");

	NTSTATUS status = STATUS_SUCCESS;
	HANDLE hFile = NULL;
	HANDLE hSection = NULL;
	PVOID pBaseAddress = NULL;
	UNICODE_STRING FileName = { 0 };

	// 初始化字元串
	RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntdll.dll");

	// 記憶體映射文件
	status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);
	if (!NT_SUCCESS(status))
	{
		return 0;
	}

	// 獲取PE頭數據集
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
	PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
	PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;

	DbgPrint("運行平臺:     %x\n", pFileHeader->Machine);
	DbgPrint("節區數目:     %x\n", pFileHeader->NumberOfSections);
	DbgPrint("時間標記:     %x\n", pFileHeader->TimeDateStamp);
	DbgPrint("可選頭大小    %x\n", pFileHeader->SizeOfOptionalHeader);
	DbgPrint("文件特性:     %x\n", pFileHeader->Characteristics);
	DbgPrint("入口點：        %p\n", pNtHeaders->OptionalHeader.AddressOfEntryPoint);
	DbgPrint("鏡像基址：      %p\n", pNtHeaders->OptionalHeader.ImageBase);
	DbgPrint("鏡像大小：      %p\n", pNtHeaders->OptionalHeader.SizeOfImage);
	DbgPrint("代碼基址：      %p\n", pNtHeaders->OptionalHeader.BaseOfCode);
	DbgPrint("區塊對齊：      %p\n", pNtHeaders->OptionalHeader.SectionAlignment);
	DbgPrint("文件塊對齊：    %p\n", pNtHeaders->OptionalHeader.FileAlignment);
	DbgPrint("子系統：        %x\n", pNtHeaders->OptionalHeader.Subsystem);
	DbgPrint("區段數目：      %d\n", pNtHeaders->FileHeader.NumberOfSections);
	DbgPrint("時間日期標誌：  %x\n", pNtHeaders->FileHeader.TimeDateStamp);
	DbgPrint("首部大小：      %x\n", pNtHeaders->OptionalHeader.SizeOfHeaders);
	DbgPrint("特征值：        %x\n", pNtHeaders->FileHeader.Characteristics);
	DbgPrint("校驗和：        %x\n", pNtHeaders->OptionalHeader.CheckSum);
	DbgPrint("可選頭部大小：  %x\n", pNtHeaders->FileHeader.SizeOfOptionalHeader);
	DbgPrint("RVA 數及大小：  %x\n", pNtHeaders->OptionalHeader.NumberOfRvaAndSizes);

	ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);
	ZwClose(hSection);
	ZwClose(hFile);

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

運行如上這段代碼，即可解析出ntdll.dll模塊的核心內容，如下圖所示；

接著來實現解析節表，PE文件中的所有節的屬性定義都被定義在節表中，節表由一系列的IMAGE_SECTION_HEADER結構排列而成，每個結構郵過來描述一個節，節表總被存放在緊接在PE文件頭的地方，也即是從PE文件頭開始偏移為00f8h的位置處，如下是節表頭部的定義。

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];
    union {
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;           // 節區尺寸
    } Misc;
    DWORD   VirtualAddress;                // 節區RVA
    DWORD   SizeOfRawData;                 // 在文件中對齊後的尺寸
    DWORD   PointerToRawData;              // 在文件中的偏移
    DWORD   PointerToRelocations;          // 在OBJ文件中使用
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;               // 節區屬性欄位
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

解析節表也很容易實現，首先通過pFileHeader->NumberOfSections獲取到節數量，然後迴圈解析直到所有節輸出完成，這段代碼實現如下所示。

// 署名權
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: [email protected]

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark.com \n");

	NTSTATUS status = STATUS_SUCCESS;
	HANDLE hFile = NULL;
	HANDLE hSection = NULL;
	PVOID pBaseAddress = NULL;
	UNICODE_STRING FileName = { 0 };

	// 初始化字元串
	RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntdll.dll");

	// 記憶體映射文件
	status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);
	if (!NT_SUCCESS(status))
	{
		return 0;
	}

	// 獲取PE頭數據集
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
	PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
	PIMAGE_SECTION_HEADER pSection = IMAGE_FIRST_SECTION(pNtHeaders);
	PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;

	DWORD NumberOfSectinsCount = 0;

	// 獲取區塊數量
	NumberOfSectinsCount = pFileHeader->NumberOfSections;

	DWORD64 *difA = NULL;   // 虛擬地址開頭
	DWORD64 *difS = NULL;   // 相對偏移(用於遍歷)

	difA = ExAllocatePool(NonPagedPool, NumberOfSectinsCount*sizeof(DWORD64));
	difS = ExAllocatePool(NonPagedPool, NumberOfSectinsCount*sizeof(DWORD64));

	DbgPrint("節區名稱 相對偏移\t虛擬大小\tRaw數據指針\tRaw數據大小\t節區屬性\n");

	for (DWORD temp = 0; temp<NumberOfSectinsCount; temp++, pSection++)
	{
		DbgPrint("%10s\t 0x%x \t 0x%x \t 0x%x \t 0x%x \t 0x%x \n",
			pSection->Name, pSection->VirtualAddress, pSection->Misc.VirtualSize,
			pSection->PointerToRawData, pSection->SizeOfRawData, pSection->Characteristics);

		difA[temp] = pSection->VirtualAddress;
		difS[temp] = pSection->VirtualAddress - pSection->PointerToRawData;
	}

	ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);
	ZwClose(hSection);
	ZwClose(hFile);

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

運行驅動程式，即可輸出ntdll.dll模塊的節表信息，如下圖；


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • VuePress2.0構建項目文檔系統
    # VuePress2.0構建項目文檔系統 參考TerraMours 官網。[https://terramours.site/](https://terramours.site/) 文件結構參考： ![image-20230530170541496](https://www.raokun.top/u ...
  • 為什麼JS中0.1+0.2不等於0.3
    當我們在電腦中使用浮點數進行計算時，特別是在使用二進位表示浮點數時，可能會出現舍入誤差。這是由於電腦使用有限的位數來表示浮點數，而某些十進位數無法精確地表示為有限的二進位數。 0.1 和 0.2 都是無限迴圈的二進位數，在轉換為浮點數時並不能完全準確地表示。將它們相加時，可能會出現舍入誤差。因此 ...
  • 如何基於G6進行雙樹流轉繪製？
    ## 1. 背景 - 業務背景：CRM系統隨著各業務條線對線索精細化分配的訴求逐漸增加，各個條線的流向規則會越來越複雜，各個條線甚至整個CRM的線索流轉規則急需一種樹形的可視化的圖來表達。 - 技術背景：在開發之前考慮了三種方案，原生canvas、fabric以及G6，三種方案各有優劣勢 |  | ...
  • 微服務架構基本原理學習筆記（二）
    上一篇：微服務架構基本原理學習筆記（一） 三、微服務架構 從一個已有的單體架構的應用程式開始進行微服務架構的重構往往是一個不錯的選擇。隨著業務量和功能的增加，我們可以考慮使用微服務架構來擴充應用程式中原有的功能，或者每次添加新功能時，都為其創建一個新的微服務。這比從一開始就選擇使用微服務架構進行設計 ...
  • EasyExcel
    EasyExcel是一個基於Java的、快速、簡潔、解決大文件記憶體溢出的Excel處理工具。 他能讓你在不用考慮性能、記憶體的等因素的情況下，快速完成Excel的讀、寫等功能。 # 快速入門 導入依賴 ~~~xml com.alibaba easyexcel 3.1.1 ~~~ # 寫 Excel # ...
  • Jackson前後端開發模式必備json利器
    ### 前言 json是我們現代互聯網程式最常用的交互格式，是否你在工作中會遇到前端說欄位不一致需要改的需求，是否遇到過資料庫欄位名與javaBean的規範不同，是否遇到過json與javaBean相互轉換時因為需求寫的土匪代碼，這些都可以用Jackson完成，我們經常和json打交道，而Jacks ...
  • Java中的同步和非同步
    在Java中，同步（Synchronous）和非同步（Asynchronous）是用來描述程式執行模式的概念。 1. 同步：同步指的是按照程式的順序依次執行代碼，每個操作都會等待前一個操作完成後再執行。同步執行的特點是阻塞，即某個操作的完成會導致後續操作的等待。在多線程編程中，同步可以通過使用鎖（如` ...
  • celery筆記一之celery介紹、啟動和運行結果跟蹤
    > 本文首發於公眾號：Hunter後端 > 原文鏈接：[celery筆記一之celery介紹、啟動和運行結果跟蹤](https://mp.weixin.qq.com/s/o6enPH4f1qo8WXrl9vO-1w) 本篇筆記內容如下： 1. celery 介紹 2. celery 準備 3. ce ...
一周排行
    -Advertisement-
    Play Games
  • 如何基於surging跨網關跨語言進行緩存降級
    基於.NET Framework 4.8 開發的深度學習模型部署測試平臺，提供了YOLO框架的主流系列模型，包括YOLOv8~v9，以及其系列下的Det、Seg、Pose、Obb、Cls等應用場景，同時支持圖像與視頻檢測。模型部署引擎使用的是OpenVINO™、TensorRT、ONNX runti... ...
  • 十年沉澱，重啟開發之路
    十年沉澱，重啟開發之路 十年前，我沉浸在開發的海洋中，每日與代碼為伍，與演算法共舞。那時的我，滿懷激情，對技術的追求近乎狂熱。然而，隨著歲月的流逝，生活的忙碌逐漸占據了我的大部分時間，讓我無暇顧及技術的沉澱與積累。 十年間，我經歷了職業生涯的起伏和變遷。從初出茅廬的菜鳥到逐漸嶄露頭角的開發者，我見證了 ...
  • C#.NET體系圖文概述—2024最全總結
    C# 是一種簡單、現代、面向對象和類型安全的編程語言。.NET 是由 Microsoft 創建的開發平臺，平臺包含了語言規範、工具、運行，支持開發各種應用，如Web、移動、桌面等。.NET框架有多個實現，如.NET Framework、.NET Core（及後續的.NET 5+版本），以及社區版本M... ...
  • 班級擂臺（光榮）榜 - 極簡教育小工具
    前言 本文介紹瞭如何使用三菱提供的MX Component插件實現對三菱PLC軟元件數據的讀寫，記錄了使用電腦模擬，模擬PLC，直至完成測試的詳細流程，並重點介紹了在這個過程中的易錯點，供參考。 用到的軟體： 1. PLC開發編程環境GX Works2，GX Works2下載鏈接 https:// ...
  • web server apache tomcat11-31-websocket
    前言 整理這個官方翻譯的系列，原因是網上大部分的 tomcat 版本比較舊，此版本為 v11 最新的版本。 開源項目 從零手寫實現 tomcat minicat 別稱【嗅虎】心有猛虎，輕嗅薔薇。 系列文章 web server apache tomcat11-01-官方文檔入門介紹 web serv ...
  • day31-jQuery
    1、jQuery介紹 jQuery是什麼 jQuery是一個快速、簡潔的JavaScript框架，是繼Prototype之後又一個優秀的JavaScript代碼庫（或JavaScript框架）。jQuery設計的宗旨是“write Less，Do More”，即倡導寫更少的代碼，做更多的事情。它封裝 ...
  • aardio爬蟲) 實戰篇：逆向有道翻譯web介面
    前言 之前的文章把js引擎(aardio封裝庫) 微軟開源的js引擎(ChakraCore))寫好了，這篇文章整點js代碼來測一下bug。測試網站：https://fanyi.youdao.com/index.html#/ 逆向思路 逆向思路可以看有道翻譯js逆向（MD5加密，AES加密）附完整源碼 ...
  • 面試官：這就是你理解的Java多線程基礎？
    引言 現代的操作系統（Windows，Linux，Mac OS）等都可以同時打開多個軟體（任務），這些軟體在我們的感知上是同時運行的，例如我們可以一邊瀏覽網頁，一邊聽音樂。而CPU執行代碼同一時間只能執行一條，但即使我們的電腦是單核CPU也可以同時運行多個任務，如下圖所示，這是因為我們的 CPU 的 ...
  • Python文本統計與分析從基礎到進階
    掌握使用Python進行文本英文統計的基本方法，並瞭解如何進一步優化和擴展這些方法，以應對更複雜的文本分析任務。 ...
  • Redis多數據源，看這篇就夠了
    背景 Redis多數據源常見的場景： 分區數據處理：當數據量增長時，單個Redis實例可能無法處理所有的數據。通過使用多個Redis數據源，可以將數據分區存儲在不同的實例中，使得數據處理更加高效。 多租戶應用程式：對於多租戶應用程式，每個租戶可以擁有自己的Redis數據源，以確保數據隔離和安全性。 ...
所有分類