PE文件——导入表&导出表&函数覆盖

原创

已于 2022-05-09 11:58:08 修改 · 7.5k 阅读

47 ·

CC 4.0 BY-SA版权

文章标签：

#安全

于 2022-04-06 02:51:21 首次发布

本文详细介绍了PE文件结构，包括PE头、导入表、导出表的识别与解析。通过Winhex工具展示了如何判断PE文件、查找导入与导出表，并讲解了如何通过修改导出函数实现特定功能，如.exe以动画方式打开和弹出messagebox。此外，还涉及了病毒获取Kernel32模块基地址的重要性以及PEditor与Winhex的使用技巧。

文章目录

PE文件的基本结构图
判断是否是PE文件
导入表
- 导入表&桥1&桥2位置
导出表
- 导出表位置
实现两种方式的导出函数覆盖
- 达到.exe以动画打开效果
- 使.exe运行会弹出messagebox
练习题

PE文件的基本结构图

在这里插入图片描述

第一个字段4D 5A被定义成字符“MZ”作为识别标志，后面的一些字段指明了入口地址、堆栈位置和重定位表位置等。
对于PE文件来说，有用的是最后的e_lfanew字段，这个字段指出了真正的PE文件头在文件中的位置，这个位置总是以8字节为单位对齐的。

判断是否是PE文件

1.使用Winhex工具，从文件头4D 5A（MZ）开始，跳转3C（即偏移3C）；
2.跳转后可读取到数据为0000 00B0；
3.再跳转到地址0000 00B0；
4.若该地址数据为50 45（即PE）就为PE文件。
在这里插入图片描述

导入表

导入表结构:

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
   
   
    union {
   
   
        DWORD   Characteristics;            
        DWORD   OriginalFirstThunk; // 指向 导入名称表INT（ImportNameTable）的RVA
    } DUMMYUNIONNAME;
    DWORD   TimeDateStamp;                  
    DWORD   ForwarderChain;                 
    DWORD   Name;                   // 指向 DLL名称的地址 RVA
    DWORD   FirstThunk;             // 指向 导入地址表IAT（ImportAddressTable）的RVA
} IMAGE_IMPORT_DESCRIPTOR;
typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;