免杀笔记 ---> PE
本来是想先把Shellcode Loader给更新了的,但是涉及到一些PE相关的知识,所以就先把PE给更了,后面再把Shellcode Loader 给补上。
声明:本文章内容来自于B站小甲鱼
1.PE的结构
首先我们要讲一个PE文件,就得知道它的结构,可以参考下面的这张照片
2.DOS头部
首先一个PE文件,就是它的DOS结构。 其中,需要我们去了解的,就是一开始的那个DOS标记以及我们执行的PE文件头
那么我们随便打开一个EXE来看一下。我门可以看见标志性的MZ
然后我们直接定位到3C这个位置,这里指向PE文件的头(写死的)
可以看见在这个PE文件中,它的PE开始是在80这个位置
于是我们就去到80这个位置
3.IMAGE_NT_HEADERS
1.Signature
这个字段,是用来标志着这是一个真正的PE文件,从上面,我们跳到了这里,就能看见我们的Signature标识字段。
2.IMAGE_FILE_HEADER
这个结构如下
其中重要的,就是SizeOfOptionalHeader这个值,这个就决定了后面的IMAGE_OPTIONAL_HEADER32的大小
3.IMAGE_OPTIONAL_HEADER32
其中一些比较重要的结构
- AddressOfEntryPoint 程序执行入口RVA 在偏移值为28的地方
我们去那个偏移位置找一找(相对于PE头的偏移)DWORD类型 ,指向的是我们的14C
- ImageBase
- SectionAlignment和FileAlignment字段
其中FileAlignment默认是200,我们自己去PE文件找找是不是这么回事(它的偏移地址是3C)
而且他是DWORD类型,四个字节,我们在对应的地方确实是能看到是200!!
- DataDirectory(数组)
其实可以这样子理解 他定义了一个长度为16的数组,然后数组的每一个元素都是一个结构,这个结构里面都存储了两个元素,一个就是数据的起始RVA,另外一个就是数据块的长度
数组中的有些元素十分的重要(导入表,导出表,资源,重定位表,IAT表)
当我们需要寻找特定的资源的时候,我们就可以去找到这个数组的第三个元素,获取到对应的RVA以及长度,当我们要查看PE文件导入了哪些DLL的API的时候,我们就可以去导入表里面获取RVA(Relative Virtual Address)和长度!!!!
4.区块
接下来就是块表,首先他是这么一个结构
然后,我们来看name,像这种以.开头的(当然这个.不是必须的)
接下来就是相应的一些结构,比较重要一点的就是PointerToRawData 和 SizeOfRawData ,通过这两个,我们就能找到下一个块表的位置
除此,还有一个比较重要,这个标定了该区块的属性!!!
最后的判断,是通过存在的属性进行OR的操作判断的,比如我们看到它的characteristic是6000000的话,我们就知道是通过20(Code) OR 20000000(Execute) OR 40000000(Read) == (60000020) 这样就能判断这个对应的属性
对于区块,一般都有以下的类型
然后就是区块的对对齐
RVA
相对虚拟地址
目标RVA和文件偏移的计算
在处理PE文件的时候,任何的RVA必须经过文件的偏移的换算,才能用来定位并访问文件中的数据。
- 首先,我们要循环扫描每个区块在内存中的起始RVA,并且根据区块的大小,算出区块的结束RVA,判断目标的RVA是否落在该区块内
- 然后通过获取到了目标区块之后,用目标RVA减去起始的RVA,这样就得到了目标RVA相对于起始地址的偏移量RVA2
- 最后,根据该区块表在文件中所处的偏移地址,将这个值加上RV2,就得到了文件的偏移地址!!!
假设我们有一个虚拟地址666666,那么我们就要去区块中查找
通过定位,我们可以发现他在.reloc这个区块中
那么RVA2 = 666666 - 66000 = 666,然后我们看到这个区块在文件中的偏移地址在60E00
所以我们这个虚拟地址在物理内存中的地址就是60E00 + 666 = 61466
5.导入表
说到导入表,我们肯定不会陌生,我们在一开始的PE头中,就讲过一个IMAGE_OPTIONAL_HEADER里面有一个特别重要的DataDirectory这个地方,里面放着我们的导入表!!!!
其中的第二个成员就是导入表,如果我们跳转到它的RVA之后,我们就能看见一个以IMAGE_IMPORT_DESCRIPTOR(简称IID)的数组开始的,每一个被加载进来的DLL文件都分别对应一个IID数组结构,当我们看到一个IID全为0的时候,就代表结束!!!!
对于每一个IID,它的结构如下:
它的长度为5个DWORD,其中重要的两个就是我们的FirstTrunk 和 OriginalFirstTrunk
6.IAT && IMAGE_IMPORT_BY_NAME
终于,我们学免杀要学的IAT表终于要出现了!!!! 不过在此之前,我们先来看一张图片
其中能看见IID的第一个DWORD OriginalFirstTrunk指向了INT表的IMAGE_THUNK_DATA
然后DWORD FirstThunk 指向了IAT表中的IMAGE_THUNK_DATA ,并且这两个都指向了IMAGE_IMPORT_BY_NAME这个表
其中,对于我们的IMAGE_THUNK_DATA
然后就是IMAGE_IMPORT_BY_NAME
IAT(Import Address Table)导入地址表
那么下面,我们就来举个栗子演示一下:
首先我们来找一个程序,直接看他的DataDirectory中的导入表的地址
然后定位到块中的 .idata中
我们可以追踪到之后发现它存在两个IID,即调用了两个动态连接库
并且我们去查看第一个IID的Original_First_Thunk,指向的是INT表中的IMAGE_THUNK_DATA,并且这个值是2A15C,但是这是一个RVA,所以我们要找到它的实际偏移,我们用这个RVA减去.idata块的RVA 得到的RVA2再加上Raw Data offs 就是我们的实际偏移地址,2815C
然后又找到一个02A2DC ,我们在上面说过,如果开头是0的话,它的值是RVA,指向一个IMAGE_IMPORT_BY_NAME,所以,我们就还要去找282DC这个地方
这样,我们就找到了我们的真正的函数的地址(在此期间指针指向了两次),来看这么一个图(第一个盒子里面是ORIGINAL_FIRST_THUNK一开始写错了)
那么刚才我们讲了通过OriginalFirstThunk找,那么现在我们通过FirstThunk查找
首先还是找到iid中的FirstThunk,然后转换为实际偏移地址就是282AC
然后我们就去282AC,找到指向的实际偏移地址是282DC
然后再去282DC处找,发现282dc处也能找到我们的这个函数的真实位置
过程如下
然后我们去让这个程序运行起来,并且将他的内存dump出来,然后再去跟踪它的导入表
这时候我们再去跟踪IAT表,282AC这个部分。终于,我们就找到了这个函数的真正的地址
这时候,我们的IAT表就是这样的了(在内存中,IAT表不在需要通过名字索引,而是通过地址了)
然后本次的PE文件就到这了,当然了PE文件远不止这些,导入表,重定位表,资源等等,当日后在免杀中用到的时候,我们再相应进行更新。
下一篇Blog,我们就会更新对应的Shellcode Loader了!!!!
原文地址:https://blog.csdn.net/huohaowen/article/details/140131605
免责声明:本站文章内容转载自网络资源,如本站内容侵犯了原著者的合法权益,可联系本站删除。更多内容请关注自学内容网(zxcms.com)!