9.3 Windows驱动开发：内核解析PE结构节表

在笔者上一篇文章《内核解析PE结构导出表》介绍了如何解析内存导出表结构，本章将继续延申实现解析PE结构的PE头，PE节表等数据，总体而言内核中解析PE结构与应用层没什么不同，在上一篇文章中LyShark封装实现了KernelMapFile()内存映射函数，在之后的章节中这个函数会被多次用到，为了减少代码冗余，后期文章只列出重要部分，读者可以自行去前面的文章中寻找特定的片段。

PE结构（Portable Executable Structure）是Windows操作系统用于执行可执行文件和动态链接库（DLL）的标准格式。节表（Section Table）是PE结构中的一个部分，它记录了可执行文件或DLL中每个区域的详细信息，例如代码、数据、资源等。

Windows NT 系统中可执行文件使用微软设计的新的文件格式，PE文件的基本结构如下图所示：

在PE文件中,代码,已初始化的数据,资源和重定位信息等数据被按照属性分类放到不同的Section(节区/或简称为节)中,而每个节区的属性和位置等信息用一个IMAGE_SECTION_HEADER结构来描述,所有的IMAGE_SECTION_HEADER结构组成了一个节表(Section Table),节表数据在PE文件中被放在所有节数据的前面.

上面PE结构图中可知PE文件的开头部分包括了一个标准的DOS可执行文件结构，这看上去有些奇怪，但是这对于可执行程序的向下兼容性来说却是不可缺少的，当然现在已经基本不会出现纯DOS程序了，现在来说这个IMAGE_DOS_HEADER结构纯粹是历史遗留问题。

9.1.1 DOS头结构解析

PE文件中的DOS部分由MZ格式的文件头和可执行代码部分组成，可执行代码被称为DOS块(DOS stub)，MZ格式的文件头由IMAGE_DOS_HEADER结构定义，在C语言头文件winnt.h中有对这个DOS结构详细定义,如下所示：

typedef struct _IMAGE_DOS_HEADER { WORD   e_magic;                     // DOS的头部WORD   e_cblp;                      // Bytes on last page of fileWORD   e_cp;                        // Pages in fileWORD   e_crlc;                      // RelocationsWORD   e_cparhdr;                   // Size of header in paragraphsWORD   e_minalloc;                  // Minimum extra paragraphs neededWORD   e_maxalloc;                  // Maximum extra paragraphs neededWORD   e_ss;                        // Initial (relative) SS valueWORD   e_sp;                        // Initial SP valueWORD   e_csum;                      // ChecksumWORD   e_ip;                        // Initial IP valueWORD   e_cs;                        // Initial (relative) CS valueWORD   e_lfarlc;                    // File address of relocation tableWORD   e_ovno;                      // Overlay numberWORD   e_res[4];                    // Reserved wordsWORD   e_oemid;                     // OEM identifier (for e_oeminfo)WORD   e_oeminfo;                   // OEM information; e_oemid specificWORD   e_res2[10];                  // Reserved wordsLONG   e_lfanew;                    // 指向了PE文件的开头(重要)} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

在DOS文件头中，第一个字段e_magic被定义为MZ,标志着DOS文件的开头部分,最后一个字段e_lfanew则指明了PE文件的开头位置，现在来说除了第一个字段和最后一个字段有些用处，其他字段几乎已经废弃了，这里附上读取DOS头的代码。

void DisplayDOSHeadInfo(HANDLE ImageBase)
{PIMAGE_DOS_HEADER pDosHead = NULL;pDosHead = (PIMAGE_DOS_HEADER)ImageBase;printf("DOS头：        %x\n", pDosHead->e_magic);printf("文件地址：     %x\n", pDosHead->e_lfarlc);printf("PE结构偏移：   %x\n", pDosHead->e_lfanew);
}

9.1.2 PE头结构解析

从DOS文件头的e_lfanew字段向下偏移003CH的位置，就是真正的PE文件头的位置，该文件头是由IMAGE_NT_HEADERS结构定义的，定义结构如下：

typedef struct _IMAGE_NT_HEADERS {DWORD Signature;                   // PE文件标识字符IMAGE_FILE_HEADER FileHeader;IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

如上PE文件头的第一个DWORD是一个标志，默认情况下它被定义为00004550h也就是P,E两个字符另外加上两个零，而大部分的文件属性由标志后面的IMAGE_FILE_HEADER和IMAGE_OPTIONAL_HEADER32结构来定义，我们继续跟进IMAGE_FILE_HEADER这个结构：

typedef struct _IMAGE_FILE_HEADER {WORD    Machine;                  // 运行平台WORD    NumberOfSections;         // 文件的节数目DWORD   TimeDateStamp;            // 文件创建日期和时间DWORD   PointerToSymbolTable;     // 指向符号表(用于调试)DWORD   NumberOfSymbols;          // 符号表中的符号数量WORD    SizeOfOptionalHeader;     // IMAGE_OPTIONAL_HANDLER32结构的长度WORD    Characteristics;          // 文件的属性 exe=010fh dll=210eh
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

继续跟进 IMAGE_OPTIONAL_HEADER32 结构，该结构体中的数据就丰富了，重要的结构说明经备注好了：

typedef struct _IMAGE_OPTIONAL_HEADER {WORD    Magic;BYTE    MajorLinkerVersion;           // 连接器版本BYTE    MinorLinkerVersion;DWORD   SizeOfCode;                   // 所有包含代码节的总大小DWORD   SizeOfInitializedData;        // 所有已初始化数据的节总大小DWORD   SizeOfUninitializedData;      // 所有未初始化数据的节总大小DWORD   AddressOfEntryPoint;          // 程序执行入口RVADWORD   BaseOfCode;                   // 代码节的起始RVADWORD   BaseOfData;                   // 数据节的起始RVADWORD   ImageBase;                    // 程序镜像基地址DWORD   SectionAlignment;             // 内存中节的对其粒度DWORD   FileAlignment;                // 文件中节的对其粒度WORD    MajorOperatingSystemVersion;  // 操作系统主版本号WORD    MinorOperatingSystemVersion;  // 操作系统副版本号WORD    MajorImageVersion;            // 可运行于操作系统的最小版本号WORD    MinorImageVersion;WORD    MajorSubsystemVersion;        // 可运行于操作系统的最小子版本号WORD    MinorSubsystemVersion;DWORD   Win32VersionValue;DWORD   SizeOfImage;                  // 内存中整个PE映像尺寸DWORD   SizeOfHeaders;                // 所有头加节表的大小DWORD   CheckSum;WORD    Subsystem;WORD    DllCharacteristics;DWORD   SizeOfStackReserve;           // 初始化时堆栈大小DWORD   SizeOfStackCommit;DWORD   SizeOfHeapReserve;DWORD   SizeOfHeapCommit;DWORD   LoaderFlags;DWORD   NumberOfRvaAndSizes;          // 数据目录的结构数量IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

IMAGE_DATA_DIRECTORY数据目录列表，它由16个相同的IMAGE_DATA_DIRECTORY结构组成，这16个数据目录结构定义很简单仅仅指出了某种数据的位置和长度，定义如下：

typedef struct _IMAGE_DATA_DIRECTORY {DWORD   VirtualAddress;      // 数据起始RVADWORD   Size;                // 数据块的长度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

上方的结构就是PE文件的重要结构，接下来将通过编程读取出PE文件的开头相关数据，读取这些结构也非常简单代码如下所示。

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("hello lyshark \n");NTSTATUS status = STATUS_SUCCESS;HANDLE hFile = NULL;HANDLE hSection = NULL;PVOID pBaseAddress = NULL;UNICODE_STRING FileName = { 0 };// 初始化字符串RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntdll.dll");// 内存映射文件status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);if (!NT_SUCCESS(status)){return 0;}// 获取PE头数据集PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;DbgPrint("运行平台:     %x\n", pFileHeader->Machine);DbgPrint("节区数目:     %x\n", pFileHeader->NumberOfSections);DbgPrint("时间标记:     %x\n", pFileHeader->TimeDateStamp);DbgPrint("可选头大小    %x\n", pFileHeader->SizeOfOptionalHeader);DbgPrint("文件特性:     %x\n", pFileHeader->Characteristics);DbgPrint("入口点：        %p\n", pNtHeaders->OptionalHeader.AddressOfEntryPoint);DbgPrint("镜像基址：      %p\n", pNtHeaders->OptionalHeader.ImageBase);DbgPrint("镜像大小：      %p\n", pNtHeaders->OptionalHeader.SizeOfImage);DbgPrint("代码基址：      %p\n", pNtHeaders->OptionalHeader.BaseOfCode);DbgPrint("区块对齐：      %p\n", pNtHeaders->OptionalHeader.SectionAlignment);DbgPrint("文件块对齐：    %p\n", pNtHeaders->OptionalHeader.FileAlignment);DbgPrint("子系统：        %x\n", pNtHeaders->OptionalHeader.Subsystem);DbgPrint("区段数目：      %d\n", pNtHeaders->FileHeader.NumberOfSections);DbgPrint("时间日期标志：  %x\n", pNtHeaders->FileHeader.TimeDateStamp);DbgPrint("首部大小：      %x\n", pNtHeaders->OptionalHeader.SizeOfHeaders);DbgPrint("特征值：        %x\n", pNtHeaders->FileHeader.Characteristics);DbgPrint("校验和：        %x\n", pNtHeaders->OptionalHeader.CheckSum);DbgPrint("可选头部大小：  %x\n", pNtHeaders->FileHeader.SizeOfOptionalHeader);DbgPrint("RVA 数及大小：  %x\n", pNtHeaders->OptionalHeader.NumberOfRvaAndSizes);ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);ZwClose(hSection);ZwClose(hFile);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

运行如上这段代码，即可解析出ntdll.dll模块的核心内容，如下图所示；

接着来实现解析节表，PE文件中的所有节的属性定义都被定义在节表中，节表由一系列的IMAGE_SECTION_HEADER结构排列而成，每个结构邮过来描述一个节，节表总被存放在紧接在PE文件头的地方，也即是从PE文件头开始偏移为00f8h的位置处，如下是节表头部的定义。

typedef struct _IMAGE_SECTION_HEADER {BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];union {DWORD   PhysicalAddress;DWORD   VirtualSize;           // 节区尺寸} Misc;DWORD   VirtualAddress;                // 节区RVADWORD   SizeOfRawData;                 // 在文件中对齐后的尺寸DWORD   PointerToRawData;              // 在文件中的偏移DWORD   PointerToRelocations;          // 在OBJ文件中使用DWORD   PointerToLinenumbers;WORD    NumberOfRelocations;WORD    NumberOfLinenumbers;DWORD   Characteristics;               // 节区属性字段
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

其中，Name是该节的名称，VirtualAddress是该节在内存中的虚拟地址，SizeOfRawData是该节在文件中的大小，PointerToRawData是该节在文件中的偏移地址，Characteristics描述了该节的属性，例如是否可读、可写、可执行等。

节表通常位于PE结构的文件头后面，它包含了多个节表项，每个节表项描述了一个节的信息，包括：

  • 节名称：每个节都有一个名称，例如代码节的名称为.text，数据节的名称为.data等；
  • 节大小：该节的大小，以字节为单位；
  • 节的虚拟地址：该节在内存中的虚拟地址；
  • 节的物理地址：该节在文件中的偏移地址；
  • 节的属性：例如该节是否可读、可写、可执行等。

总的来说，节表记录了PE文件中每个区域的详细信息，这些信息对于可执行文件或DLL的加载和运行都非常重要。

解析节表也很容易实现，首先通过pFileHeader->NumberOfSections获取到节数量，然后循环解析直到所有节输出完成，这段代码实现如下所示。

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("hello lyshark \n");NTSTATUS status = STATUS_SUCCESS;HANDLE hFile = NULL;HANDLE hSection = NULL;PVOID pBaseAddress = NULL;UNICODE_STRING FileName = { 0 };// 初始化字符串RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntdll.dll");// 内存映射文件status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);if (!NT_SUCCESS(status)){return 0;}// 获取PE头数据集PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);PIMAGE_SECTION_HEADER pSection = IMAGE_FIRST_SECTION(pNtHeaders);PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;DWORD NumberOfSectinsCount = 0;// 获取区块数量NumberOfSectinsCount = pFileHeader->NumberOfSections;DWORD64 *difA = NULL;   // 虚拟地址开头DWORD64 *difS = NULL;   // 相对偏移(用于遍历)difA = ExAllocatePool(NonPagedPool, NumberOfSectinsCount*sizeof(DWORD64));difS = ExAllocatePool(NonPagedPool, NumberOfSectinsCount*sizeof(DWORD64));DbgPrint("节区名称 相对偏移\t虚拟大小\tRaw数据指针\tRaw数据大小\t节区属性\n");for (DWORD temp = 0; temp<NumberOfSectinsCount; temp++, pSection++){DbgPrint("%10s\t 0x%x \t 0x%x \t 0x%x \t 0x%x \t 0x%x \n",pSection->Name, pSection->VirtualAddress, pSection->Misc.VirtualSize,pSection->PointerToRawData, pSection->SizeOfRawData, pSection->Characteristics);difA[temp] = pSection->VirtualAddress;difS[temp] = pSection->VirtualAddress - pSection->PointerToRawData;}ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);ZwClose(hSection);ZwClose(hFile);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

运行驱动程序，即可输出ntdll.dll模块的节表信息，如下图；

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/211895.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

脉冲幅度调制信号的功率谱计算

脉冲幅度调制信号的功率谱计算

本篇文章是博主在通信等领域学习时&#xff0c;用于个人学习、研究或者欣赏使用&#xff0c;并基于博主对人工智能等领域的一些理解而记录的学习摘录和笔记&#xff0c;若有不当和侵权之处&#xff0c;指出后将会立即改正&#xff0c;还望谅解。文章分类在通信领域笔记&#xf…
阅读更多...
Python+Requests+PyTest+Excel+Allure 接口自动化测试实战

Python+Requests+PyTest+Excel+Allure 接口自动化测试实战

目录 本文主要介绍了PythonRequessPyTestExcelAllure 接口自动化测试实战&#xff0c;文中通过示例代码介绍的非常详细&#xff0c;对大家的学习或者工作具有一定的参考学习价值&#xff0c;需要的朋友们下面随着小编来一起学习学习吧 Unittest是Python标准库中自带的单元测试…
阅读更多...
nginx 模块相关配置及结构理解

nginx 模块相关配置及结构理解

文章目录 模块配置结构模块配置指令先看一下 ngx_command_t 结构一个模块配置的demo简单模块配置的案例演示 模块上下文结构模块的定义 模块配置结构 Nginx中每个模块都会提供一些指令&#xff0c;以便于用户通过配置去控制该模块的行为。 Nginx的配置信息分成了几个作用域(sc…
阅读更多...
【Vue】核心特性（响应式）

【Vue】核心特性（响应式）

响应式&#xff1a; 数据变化&#xff0c;视图自动更新 接下来使用一个例子来体现一下什么是响应式 案例一&#xff1a; 访问数据&#xff0c;视图自动更新 <!DOCTYPE html> <html lang"en"> <head><meta charset"UTF-8"><…
阅读更多...
【C/PTA】函数专项练习（四）

【C/PTA】函数专项练习（四）

本文结合PTA专项练习带领读者掌握函数&#xff0c;刷题为主注释为辅&#xff0c;在代码中理解思路&#xff0c;其它不做过多叙述。 目录 6-1 计算A[n]1/(1 A[n-1])6-2 递归实现顺序输出整数6-3 自然数的位数(递归版)6-4 分治法求解金块问题6-5 汉诺塔6-6 重复显示字符(递归版)…
阅读更多...
【git】使用ssh

【git】使用ssh

前言 git之前一直使用https&#xff0c;因为很方便随时随地都可以用。最近吧代码托管到GitHub&#xff0c;使用https就使用不了。后面听同事说GitHub使用ssh是没问题的&#xff0c;就想着尝试一下。 git ssh配置 设置用户名和邮箱 git config --global use.name usernamegit…
阅读更多...
性能测试的指南：测试类型、性能测试步骤、最佳实践等！

性能测试的指南：测试类型、性能测试步骤、最佳实践等！

近期公司为了节省成本搞了一波机房迁移&#xff0c;整合了一些南美部署架构。有一些上google云和有些下阿里云等大的调整。 在做机房迁移项目当中就需要思考如何进行性能测试&#xff0c;这种大的机房迁移SRE&#xff08;运维&#xff09;会针对组件会做一些单组件的性能测试&a…
阅读更多...
【LeetCode刷题-回溯】-- 47.全排列II

【LeetCode刷题-回溯】-- 47.全排列II

47.全排列II 主要需要解决全排列不重复的问题&#xff0c;设定一个规则&#xff0c;保证在填第i个数的时候重复数字只会被填入一次即可&#xff0c;而在本题中&#xff0c;我们选择对原数组排序&#xff0c;保证相同的数字都相邻&#xff0c;然后每次填入的数一定是这个数所在重…
阅读更多...
基于深度学习的文本分类

基于深度学习的文本分类

通过构建更复杂的深度学习模型可以提高分类的准确性&#xff0c;即分别基于TextCNN、TextRNN和TextRCNN三种算法实现中文文本分类。 项目地址&#xff1a;zz-zik/NLP-Application-and-Practice: 本项目将《自然语言处理与应用实战》原书中代码进行了实现&#xff0c;并在此基础…
阅读更多...
docker启动容器失败，然后查看日志，docker logs查看容器出现报错：

docker启动容器失败，然后查看日志，docker logs查看容器出现报错：

docker 启动容器失败&#xff0c;然后docker logs 查看容器出现报错&#xff1a; error from daemon in stream: Error grabbing logs: invalid character l after object key:value pair在网上看到的 解决方案&#xff1a; 找到你日志文件目录&#xff1a; docker inspect …
阅读更多...
盘点55个Python书籍Python爱好者不容错过

盘点55个Python书籍Python爱好者不容错过

盘点55个Python书籍Python爱好者不容错过 学习知识费力气&#xff0c;收集整理更不易。 知识付费甚欢喜&#xff0c;为咱码农谋福利。 链接&#xff1a;https://pan.baidu.com/s/1zJ0YGPBugDxCAAvCJbPXvA?pwd8888 提取码&#xff1a;8888 书籍名称&#xff1a; Flask We…
阅读更多...
2016年全国硕士研究生入学统一考试管理类专业学位联考数学试题——解析版

2016年全国硕士研究生入学统一考试管理类专业学位联考数学试题——解析版

文章目录 2016 级考研管理类联考数学真题一、问题求解&#xff08;本大题共 15 小题&#xff0c;每小题 3 分&#xff0c;共 45 分&#xff09;下列每题给出 5 个选项中&#xff0c;只有一个是符合要求的&#xff0c;请在答题卡上将所选择的字母涂黑。真题&#xff08;2016-01&…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023