驅動開發：內核解析PE結構節表

来源:https://www.cnblogs.com/LyShark/archive/2023/06/01/17143681.html
-Advertisement-
Play Games

在筆者上一篇文章`《驅動開發：內核解析PE結構導出表》`介紹瞭如何解析記憶體導出表結構，本章將繼續延申實現解析PE結構的PE頭，PE節表等數據，總體而言內核中解析PE結構與應用層沒什麼不同，在上一篇文章中`LyShark`封裝實現了`KernelMapFile()`記憶體映射函數，在之後的章節中這個函數... ...


在筆者上一篇文章《驅動開發：內核解析PE結構導出表》介紹瞭如何解析記憶體導出表結構，本章將繼續延申實現解析PE結構的PE頭，PE節表等數據，總體而言內核中解析PE結構與應用層沒什麼不同，在上一篇文章中LyShark封裝實現了KernelMapFile()記憶體映射函數，在之後的章節中這個函數會被多次用到，為了減少代碼冗餘，後期文章只列出重要部分，讀者可以自行去前面的文章中尋找特定的片段。

Windows NT 系統中可執行文件使用微軟設計的新的文件格式，也就是至今還在使用的PE格式，PE文件的基本結構如下圖所示：

在PE文件中,代碼,已初始化的數據,資源和重定位信息等數據被按照屬性分類放到不同的Section(節區/或簡稱為節)中,而每個節區的屬性和位置等信息用一個IMAGE_SECTION_HEADER結構來描述,所有的IMAGE_SECTION_HEADER結構組成了一個節表(Section Table),節表數據在PE文件中被放在所有節數據的前面.

上面PE結構圖中可知PE文件的開頭部分包括了一個標準的DOS可執行文件結構，這看上去有些奇怪，但是這對於可執行程式的向下相容性來說卻是不可缺少的，當然現在已經基本不會出現純DOS程式了，現在來說這個IMAGE_DOS_HEADER結構純粹是歷史遺留問題。

DOS頭結構解析： PE文件中的DOS部分由MZ格式的文件頭和可執行代碼部分組成，可執行代碼被稱為DOS塊(DOS stub)，MZ格式的文件頭由IMAGE_DOS_HEADER結構定義，在C語言頭文件winnt.h中有對這個DOS結構詳細定義,如下所示：

typedef struct _IMAGE_DOS_HEADER { 
    WORD   e_magic;                     // DOS的頭部
    WORD   e_cblp;                      // Bytes on last page of file
    WORD   e_cp;                        // Pages in file
    WORD   e_crlc;                      // Relocations
    WORD   e_cparhdr;                   // Size of header in paragraphs
    WORD   e_minalloc;                  // Minimum extra paragraphs needed
    WORD   e_maxalloc;                  // Maximum extra paragraphs needed
    WORD   e_ss;                        // Initial (relative) SS value
    WORD   e_sp;                        // Initial SP value
    WORD   e_csum;                      // Checksum
    WORD   e_ip;                        // Initial IP value
    WORD   e_cs;                        // Initial (relative) CS value
    WORD   e_lfarlc;                    // File address of relocation table
    WORD   e_ovno;                      // Overlay number
    WORD   e_res[4];                    // Reserved words
    WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
    WORD   e_oeminfo;                   // OEM information; e_oemid specific
    WORD   e_res2[10];                  // Reserved words
    LONG   e_lfanew;                    // 指向了PE文件的開頭(重要)
  } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

在DOS文件頭中，第一個欄位e_magic被定義為MZ,標志著DOS文件的開頭部分,最後一個欄位e_lfanew則指明瞭PE文件的開頭位置，現在來說除了第一個欄位和最後一個欄位有些用處，其他欄位幾乎已經廢棄了，這裡附上讀取DOS頭的代碼。

void DisplayDOSHeadInfo(HANDLE ImageBase)
{
    PIMAGE_DOS_HEADER pDosHead = NULL;
    pDosHead = (PIMAGE_DOS_HEADER)ImageBase;

    printf("DOS頭：        %x\n", pDosHead->e_magic);
    printf("文件地址：     %x\n", pDosHead->e_lfarlc);
    printf("PE結構偏移：   %x\n", pDosHead->e_lfanew);
}

PE頭結構解析： 從DOS文件頭的e_lfanew欄位向下偏移003CH的位置，就是真正的PE文件頭的位置，該文件頭是由IMAGE_NT_HEADERS結構定義的，定義結構如下：

typedef struct _IMAGE_NT_HEADERS {
    DWORD Signature;                   // PE文件標識字元
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

如上PE文件頭的第一個DWORD是一個標誌，預設情況下它被定義為00004550h也就是P,E兩個字元另外加上兩個零，而大部分的文件屬性由標誌後面的IMAGE_FILE_HEADER和IMAGE_OPTIONAL_HEADER32結構來定義，我們繼續跟進IMAGE_FILE_HEADER這個結構：

typedef struct _IMAGE_FILE_HEADER {
    WORD    Machine;                  // 運行平臺
    WORD    NumberOfSections;         // 文件的節數目
    DWORD   TimeDateStamp;            // 文件創建日期和時間
    DWORD   PointerToSymbolTable;     // 指向符號表(用於調試)
    DWORD   NumberOfSymbols;          // 符號表中的符號數量
    WORD    SizeOfOptionalHeader;     // IMAGE_OPTIONAL_HANDLER32結構的長度
    WORD    Characteristics;          // 文件的屬性 exe=010fh dll=210eh
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

繼續跟進 IMAGE_OPTIONAL_HEADER32 結構，該結構體中的數據就豐富了，重要的結構說明經備註好了：

typedef struct _IMAGE_OPTIONAL_HEADER {
    WORD    Magic;
    BYTE    MajorLinkerVersion;           // 連接器版本
    BYTE    MinorLinkerVersion;
    DWORD   SizeOfCode;                   // 所有包含代碼節的總大小
    DWORD   SizeOfInitializedData;        // 所有已初始化數據的節總大小
    DWORD   SizeOfUninitializedData;      // 所有未初始化數據的節總大小
    DWORD   AddressOfEntryPoint;          // 程式執行入口RVA
    DWORD   BaseOfCode;                   // 代碼節的起始RVA
    DWORD   BaseOfData;                   // 數據節的起始RVA
    DWORD   ImageBase;                    // 程式鏡像基地址
    DWORD   SectionAlignment;             // 記憶體中節的對其粒度
    DWORD   FileAlignment;                // 文件中節的對其粒度
    WORD    MajorOperatingSystemVersion;  // 操作系統主版本號
    WORD    MinorOperatingSystemVersion;  // 操作系統副版本號
    WORD    MajorImageVersion;            // 可運行於操作系統的最小版本號
    WORD    MinorImageVersion;
    WORD    MajorSubsystemVersion;        // 可運行於操作系統的最小子版本號
    WORD    MinorSubsystemVersion;
    DWORD   Win32VersionValue;
    DWORD   SizeOfImage;                  // 記憶體中整個PE映像尺寸
    DWORD   SizeOfHeaders;                // 所有頭加節表的大小
    DWORD   CheckSum;
    WORD    Subsystem;
    WORD    DllCharacteristics;
    DWORD   SizeOfStackReserve;           // 初始化時堆棧大小
    DWORD   SizeOfStackCommit;
    DWORD   SizeOfHeapReserve;
    DWORD   SizeOfHeapCommit;
    DWORD   LoaderFlags;
    DWORD   NumberOfRvaAndSizes;          // 數據目錄的結構數量
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

IMAGE_DATA_DIRECTORY數據目錄列表，它由16個相同的IMAGE_DATA_DIRECTORY結構組成，這16個數據目錄結構定義很簡單僅僅指出了某種數據的位置和長度，定義如下：

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;      // 數據起始RVA
    DWORD   Size;                // 數據塊的長度
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

上方的結構就是PE文件的重要結構，接下來將通過編程讀取出PE文件的開頭相關數據，讀取這些結構也非常簡單代碼如下所示。

// 署名權
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: [email protected]

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark.com \n");

	NTSTATUS status = STATUS_SUCCESS;
	HANDLE hFile = NULL;
	HANDLE hSection = NULL;
	PVOID pBaseAddress = NULL;
	UNICODE_STRING FileName = { 0 };

	// 初始化字元串
	RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntdll.dll");

	// 記憶體映射文件
	status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);
	if (!NT_SUCCESS(status))
	{
		return 0;
	}

	// 獲取PE頭數據集
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
	PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
	PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;

	DbgPrint("運行平臺:     %x\n", pFileHeader->Machine);
	DbgPrint("節區數目:     %x\n", pFileHeader->NumberOfSections);
	DbgPrint("時間標記:     %x\n", pFileHeader->TimeDateStamp);
	DbgPrint("可選頭大小    %x\n", pFileHeader->SizeOfOptionalHeader);
	DbgPrint("文件特性:     %x\n", pFileHeader->Characteristics);
	DbgPrint("入口點：        %p\n", pNtHeaders->OptionalHeader.AddressOfEntryPoint);
	DbgPrint("鏡像基址：      %p\n", pNtHeaders->OptionalHeader.ImageBase);
	DbgPrint("鏡像大小：      %p\n", pNtHeaders->OptionalHeader.SizeOfImage);
	DbgPrint("代碼基址：      %p\n", pNtHeaders->OptionalHeader.BaseOfCode);
	DbgPrint("區塊對齊：      %p\n", pNtHeaders->OptionalHeader.SectionAlignment);
	DbgPrint("文件塊對齊：    %p\n", pNtHeaders->OptionalHeader.FileAlignment);
	DbgPrint("子系統：        %x\n", pNtHeaders->OptionalHeader.Subsystem);
	DbgPrint("區段數目：      %d\n", pNtHeaders->FileHeader.NumberOfSections);
	DbgPrint("時間日期標誌：  %x\n", pNtHeaders->FileHeader.TimeDateStamp);
	DbgPrint("首部大小：      %x\n", pNtHeaders->OptionalHeader.SizeOfHeaders);
	DbgPrint("特征值：        %x\n", pNtHeaders->FileHeader.Characteristics);
	DbgPrint("校驗和：        %x\n", pNtHeaders->OptionalHeader.CheckSum);
	DbgPrint("可選頭部大小：  %x\n", pNtHeaders->FileHeader.SizeOfOptionalHeader);
	DbgPrint("RVA 數及大小：  %x\n", pNtHeaders->OptionalHeader.NumberOfRvaAndSizes);

	ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);
	ZwClose(hSection);
	ZwClose(hFile);

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

運行如上這段代碼，即可解析出ntdll.dll模塊的核心內容，如下圖所示；

接著來實現解析節表，PE文件中的所有節的屬性定義都被定義在節表中，節表由一系列的IMAGE_SECTION_HEADER結構排列而成，每個結構郵過來描述一個節，節表總被存放在緊接在PE文件頭的地方，也即是從PE文件頭開始偏移為00f8h的位置處，如下是節表頭部的定義。

typedef struct _IMAGE_SECTION_HEADER {
    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];
    union {
            DWORD   PhysicalAddress;
            DWORD   VirtualSize;           // 節區尺寸
    } Misc;
    DWORD   VirtualAddress;                // 節區RVA
    DWORD   SizeOfRawData;                 // 在文件中對齊後的尺寸
    DWORD   PointerToRawData;              // 在文件中的偏移
    DWORD   PointerToRelocations;          // 在OBJ文件中使用
    DWORD   PointerToLinenumbers;
    WORD    NumberOfRelocations;
    WORD    NumberOfLinenumbers;
    DWORD   Characteristics;               // 節區屬性欄位
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

解析節表也很容易實現，首先通過pFileHeader->NumberOfSections獲取到節數量，然後迴圈解析直到所有節輸出完成，這段代碼實現如下所示。

// 署名權
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: [email protected]

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark.com \n");

	NTSTATUS status = STATUS_SUCCESS;
	HANDLE hFile = NULL;
	HANDLE hSection = NULL;
	PVOID pBaseAddress = NULL;
	UNICODE_STRING FileName = { 0 };

	// 初始化字元串
	RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntdll.dll");

	// 記憶體映射文件
	status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);
	if (!NT_SUCCESS(status))
	{
		return 0;
	}

	// 獲取PE頭數據集
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
	PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
	PIMAGE_SECTION_HEADER pSection = IMAGE_FIRST_SECTION(pNtHeaders);
	PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;

	DWORD NumberOfSectinsCount = 0;

	// 獲取區塊數量
	NumberOfSectinsCount = pFileHeader->NumberOfSections;

	DWORD64 *difA = NULL;   // 虛擬地址開頭
	DWORD64 *difS = NULL;   // 相對偏移(用於遍歷)

	difA = ExAllocatePool(NonPagedPool, NumberOfSectinsCount*sizeof(DWORD64));
	difS = ExAllocatePool(NonPagedPool, NumberOfSectinsCount*sizeof(DWORD64));

	DbgPrint("節區名稱 相對偏移\t虛擬大小\tRaw數據指針\tRaw數據大小\t節區屬性\n");

	for (DWORD temp = 0; temp<NumberOfSectinsCount; temp++, pSection++)
	{
		DbgPrint("%10s\t 0x%x \t 0x%x \t 0x%x \t 0x%x \t 0x%x \n",
			pSection->Name, pSection->VirtualAddress, pSection->Misc.VirtualSize,
			pSection->PointerToRawData, pSection->SizeOfRawData, pSection->Characteristics);

		difA[temp] = pSection->VirtualAddress;
		difS[temp] = pSection->VirtualAddress - pSection->PointerToRawData;
	}

	ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);
	ZwClose(hSection);
	ZwClose(hFile);

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

運行驅動程式，即可輸出ntdll.dll模塊的節表信息，如下圖；


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • VuePress2.0構建項目文檔系統
    # VuePress2.0構建項目文檔系統 參考TerraMours 官網。[https://terramours.site/](https://terramours.site/) 文件結構參考： ![image-20230530170541496](https://www.raokun.top/u ...
  • 為什麼JS中0.1+0.2不等於0.3
    當我們在電腦中使用浮點數進行計算時，特別是在使用二進位表示浮點數時，可能會出現舍入誤差。這是由於電腦使用有限的位數來表示浮點數，而某些十進位數無法精確地表示為有限的二進位數。 0.1 和 0.2 都是無限迴圈的二進位數，在轉換為浮點數時並不能完全準確地表示。將它們相加時，可能會出現舍入誤差。因此 ...
  • 如何基於G6進行雙樹流轉繪製？
    ## 1. 背景 - 業務背景：CRM系統隨著各業務條線對線索精細化分配的訴求逐漸增加，各個條線的流向規則會越來越複雜，各個條線甚至整個CRM的線索流轉規則急需一種樹形的可視化的圖來表達。 - 技術背景：在開發之前考慮了三種方案，原生canvas、fabric以及G6，三種方案各有優劣勢 |  | ...
  • 微服務架構基本原理學習筆記（二）
    上一篇：微服務架構基本原理學習筆記（一） 三、微服務架構 從一個已有的單體架構的應用程式開始進行微服務架構的重構往往是一個不錯的選擇。隨著業務量和功能的增加，我們可以考慮使用微服務架構來擴充應用程式中原有的功能，或者每次添加新功能時，都為其創建一個新的微服務。這比從一開始就選擇使用微服務架構進行設計 ...
  • EasyExcel
    EasyExcel是一個基於Java的、快速、簡潔、解決大文件記憶體溢出的Excel處理工具。 他能讓你在不用考慮性能、記憶體的等因素的情況下，快速完成Excel的讀、寫等功能。 # 快速入門 導入依賴 ~~~xml com.alibaba easyexcel 3.1.1 ~~~ # 寫 Excel # ...
  • Jackson前後端開發模式必備json利器
    ### 前言 json是我們現代互聯網程式最常用的交互格式，是否你在工作中會遇到前端說欄位不一致需要改的需求，是否遇到過資料庫欄位名與javaBean的規範不同，是否遇到過json與javaBean相互轉換時因為需求寫的土匪代碼，這些都可以用Jackson完成，我們經常和json打交道，而Jacks ...
  • Java中的同步和非同步
    在Java中，同步（Synchronous）和非同步（Asynchronous）是用來描述程式執行模式的概念。 1. 同步：同步指的是按照程式的順序依次執行代碼，每個操作都會等待前一個操作完成後再執行。同步執行的特點是阻塞，即某個操作的完成會導致後續操作的等待。在多線程編程中，同步可以通過使用鎖（如` ...
  • celery筆記一之celery介紹、啟動和運行結果跟蹤
    > 本文首發於公眾號：Hunter後端 > 原文鏈接：[celery筆記一之celery介紹、啟動和運行結果跟蹤](https://mp.weixin.qq.com/s/o6enPH4f1qo8WXrl9vO-1w) 本篇筆記內容如下： 1. celery 介紹 2. celery 準備 3. ce ...
一周排行
    -Advertisement-
    Play Games
  • .NET 6 Entity Framework Core Db First（1） 創建模型
    .Net8.0 Blazor Hybird 桌面端 (WPF/Winform) 實測可以完整運行在 win7sp1/win10/win11. 如果用其他工具打包,還可以運行在mac/linux下, 傳送門BlazorHybrid 發佈為無依賴包方式 安裝 WebView2Runtime 1.57 M ...
  • 資料庫升級PostgreSql+Garnet
    目錄前言PostgreSql安裝測試額外Nuget安裝Person.cs模擬運行Navicate連postgresql解決方案Garnet為什麼要選擇Garnet而不是RedisRedis不再開源Windows版的Redis是由微軟維護的Windows Redis版本老舊，後續可能不再更新Garne ...
  • 如何基於surging架設流媒體視頻推流（視頻講解）
    C#TMS系統代碼-聯表報表學習 領導被裁了之後很快就有人上任了，幾乎是無縫銜接，很難讓我不想到這早就決定好了。我的職責沒有任何變化。感受下來這個系統封裝程度很高，我只要會調用方法就行。這個系統交付之後不會有太多問題，更多應該是做小需求，有大的開發任務應該也是第二期的事，嗯？怎麼感覺我變成運維了？而 ...
  • EAV模型（實體-屬性-值）的設計和低代碼的處理方案（2）--數據的查詢處理
    我在隨筆《EAV模型（實體-屬性-值）的設計和低代碼的處理方案（1）》中介紹了一些基本的EAV模型設計知識和基於Winform場景下低代碼（或者說無代碼）的一些實現思路，在本篇隨筆中，我們來分析一下這種針對通用業務，且只需定義就能構建業務模塊存儲和界面的解決方案，其中的數據查詢處理的操作。 ...
  • C# 程式集、模塊和類型概念及關係
    對某個遠程伺服器啟用和設置NTP服務(Windows系統) 打開註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer 將 Enabled 的值設置為 1，這將啟用NTP伺服器功 ...
  • Django信號與擴展：深入理解與實踐
    title: Django信號與擴展：深入理解與實踐 date: 2024/5/15 22:40:52 updated: 2024/5/15 22:40:52 categories: 後端開發 tags: Django 信號 松耦合 觀察者 擴展 安全 性能 第一部分：Django信號基礎 Djan ...
  • Django3.2安裝源碼xadmin2步驟以及遇到的問題
    使用xadmin2遇到的問題&解決 環境配置： 使用的模塊版本： 關聯的包 Django 3.2.15 mysqlclient 2.2.4 xadmin 2.0.1 django-crispy-forms >= 1.6.0 django-import-export >= 0.5.1 django-r ...
  • 原創->CommonsCollections1-DefaultMap鏈
    今天我打算整點兒不一樣的內容，通過之前學習的TransformerMap和LazyMap鏈，想搞點不一樣的，所以我關註了另外一條鏈DefaultedMap鏈，主要調用鏈為： 調用鏈詳細描述： ObjectInputStream.readObject() DefaultedMap.readObject ...
  • 05-應用級開發者 AI 時代破局點
    後端應用級開發者該如何擁抱 AI GC？就是在這樣的一個大的浪潮下，我們的傳統的應用級開發者。我們該如何選擇職業或者是如何去快速轉型，跟上這樣的一個行業的一個浪潮? 0 AI金字塔模型 越往上它的整個難度就是職業機會也好，或者說是整個的這個運作也好,它的難度會越大,然後越往下機會就會越多,所以這是一 ...
  • Java面試題：讓依賴註入變得簡單，面對@Autowired和@Resource，該如何選擇？
    @Autowired是Spring框架提供的註解，@Resource是Java EE 5規範提供的註解。 @Autowired預設按照類型自動裝配，而@Resource預設按照名稱自動裝配。 @Autowired支持@Qualifier註解來指定裝配哪一個具有相同類型的bean，而@Resourc... ...
所有分類