软件安全基础之PE文件格式

软件安全基础之PE文件格式

值复习《软件安全》这门课之际，PE文件格式可谓是重中之重，在这里，我便结合教材和PPT，对相关知识进行一个小小的梳理。如有不当之处，希望能被指正！

什么是PE文件格式？

PE就是Portable Executable，它是Win32可执行文件的标准格式；

PE文件格式与恶意软件的关系

文件感染的定义：使目标PE文件具备“或启动”病毒功能，但不破坏目标PE文件原有功能和外在形态（如图标等）；

病毒代码与目标PE文件融为一体的途径：代码植入、控制权获取、图标更改。
注：这里的代码植入可以分为两种，主动植入和被动植入，主动植入即是程序自身利用系统地正常功能或缺陷将攻击代码植入到目标中，而不需要人的干预；被动植入即是恶意软件将攻击代码植入到目标主机时，需要借助用户的操作——通常是和社会工程学的攻击方法相结合，诱使用户触发漏洞。
权限提升：
首先，访问控制：防止未经授权使用资源，包括防止以非授权方式使用资源；
访问权限：访问控制的访问规则，用来区别不同访问者对资源的访问权限。
而所谓的权限提升就是攻击者通过攻击某些有缺陷的系统程序，把当前较低的账户权限提升到更高级别的用户权限。
由于管理员的权限较大，通常将获得管理员权限看做是一种特殊的权限提升。

病毒被运行的流程：

1. 用户点击（或系统自动运行）HOST程序
2. 装载HOST程序到内存中
3. 通过PE文件的AddressOfEntryPoint和ImageBase之和来定位第一条语句的位置
4. 从第一条语句开始执行（病毒代码可能在此时，也可能在HOST代码运行过程中获得控制权）
5. 病毒体代码主体执行完毕，将控制权交换给HOST程序
6. HOST程序体继续执行

在这里提到一个概念叫Addr