.NET对PE结构的扩展

 

可执行文件的格式是反映一个系统程序运行机制的重要方面，Win32下可执行文件是读者已经非常熟悉的PE格式， 在.NET系统中，运行机制的改变带来了可执行文件格式的扩展。一方面，.NET建立在Win32/64的基础上，兼容性的要求决定了.NET的可执行文 件必须是在PE的基础上进行扩展；另一方面，Win32中PE文件存储的是汇编代码，而.NET中存储的是MSIL与元数据，后者无论是在逻辑结构还是物 理结构上，都与传统PE格式有很大区别。本章将详细讨论元数据的意义及其在可执行文件中的存储，读者需要对传统PE格式有所了解，因为本章会跳过这些基础 内容而直接进入.NET的扩展部分。

如果用普通的PE文件结构工具查看.NET可执行文件，不会发现它有什么特别之处，因为所有的头结构、节名称都和Win32下的相同。但细心的读者会发 现，.NET PE文件的第15项数据目录COM大多数情况下的RVA为0x2008，大小为0x48，而该地址正指向了.text节。没错，.NET对PE的扩展主要 体现在了.text节的构造上：在Win32下，.text节保存的是汇编；而.NET中保存的是MSIL、元数据、以及各种特殊的.NET结构。本节首 先带领读者认识大变样后的.text节，随后介绍.NET PE中最重要的结构：CLR头。

图3.1为一般情况下.NET PE文件的.text节结构，通常包含八部分内容，比较重要的有以下几项：Common Language Runtime头（CLR头），这是整个.NET可执行文件综合信息的存放处，其作用类似于Win32下的PE头；MSIL代码和可选的异常处理表，这是 加密软件重点关注的数据，也是解密时最希望得到的数据；强名称及其hash数据，当一个文件被签署了强名称后，相应的强名称数据保存于此；最后则是元数 据。

图3.1  .NET PE文件中的.text节结构

前面叙述了.text节中存储了哪些内容，接着将介绍它们具体的结构及含义。先介绍最重要的结构CLR头，它的定义在SDK安装目录里include目录下的CorHdr.h文件中，结构名叫IMAGE_COR20_HEADER，精简后的C++代码如下：
// COM+ 2.0 header structure.
typedef struct IMAGE_COR20_HEADER
{
DWORD                   cb;             
WORD                    MajorRuntimeVersion;
WORD                    MinorRuntimeVersion;
IMAGE_DATA_DIRECTORY    MetaData;       
DWORD                   Flags;          
union {
DWORD               EntryPointToken;
DWORD               EntryPointRVA;
};
IMAGE_DATA_DIRECTORY    Resources;
IMAGE_DATA_DIRECTORY    StrongNameSignature;
IMAGE_DATA_DIRECTORY    CodeManagerTable;
IMAGE_DATA_DIRECTORY    VTableFixups;
IMAGE_DATA_DIRECTORY    ExportAddressTableJumps;
IMAGE_DATA_DIRECTORY    ManagedNativeHeader;   
} IMAGE_COR20_HEADER, *PIMAGE_COR20_HEADER;

表3-1详细解释了该结构中各项的意义。整个结构的大小为0x48，正是倒数第2项数据目录中指出的大小。

表3-1  CLR头的结构与说明

偏移	大小	名    称	说    明
0	4	Cb	CLR头的大小，以byte为单位
4	2	MajorRuntimeVersion	能运行该程序的最小.NET版本的主版本号
6	2	MinorRuntimeVersion	能运行该程序的.NET版本的副版本号
8	8	MetaData	元数据的RVA和Size
16	4	Flags	属性字段，可以在IL中以.corflags进行显式设置，也可以在编译时用/FLAGS选项进行设置，其中命令行设置的优先级较高
20	4	EntryPointToken /EntryPointRVA	入口方法的元数据ID（也就是token），在EXE文件必须有，而DLL文件中此项可以为0（.NET 2.0中，此项还可以是本地入口代码的RVA值）
24	8	Resources	托管资源的RVA和Size
32	8	StrongNameSignature	强名称数据的RVA和Size（强名称的意义在后面介绍）
40	8	CodeManagerTable	CodeManagerTable的RVA与Size，此项暂未使用，为0
48	8	VTableFixups	v-table项的RVA和Size，主要供使用v-table的C++语言进行重定位
56	8	ExportAddressTableJumps	用于C++的输出跳转地址表的RVA和Size，大多数情况为0
64	8	ManagedNativeHeader	仅在由ngen生成本地模块中该项不为0，其余情况均为0

其中Flags项定义了该exe文件的最基本性质，包含以下设置：
COMIMAGE_FLAGS_ILONLY           =0x00000001,//此程序由纯IL代码组成
COMIMAGE_FLAGS_32BITREQUIRED    =0x00000002,//此程序仅在32位系统上运行
COMIMAGE_FLAGS_IL_LIBRARY       =0x00000004,//此程序仅作为IL代码库（很少用）
COMIMAGE_FLAGS_STRONGNAMESIGNED =0x00000008,//此程序有强名称（重要）
COMIMAGE_FLAGS_NATIVE_ENTRYPOINT    =0x00000008,//此程序入口方法为非托管
COMIMAGE_FLAGS_TRACKDEBUGDATA   =0x00010000,//loader和JIT需要追踪调试信息

如果读者是初次接触上述内容，建议使用UltraEdit等编辑工具打开某个.NET PE文件，在十六进制编码的基础上对照表中各项进行学习。通常在进行软件分析时，该头结构中的大多数信息是不变的，若有特殊需要，可利用专门的文件结构查 看工具进行浏览，如传统的Win32文件结构查看工具如PEiD、PEInfo、LordPE等，以及专为.NET编写的查看工具，如 Researcher .NET、Spices.NET的元数据结构浏览组件、CFF Explorer等，有兴趣的读者还可以自己编写类似工具。图3.2便是用LordPE载入mscorlib.dll后显示的CLR头的数 据，mscorlib.dll是.NET平台的基础文件之一，位于（系统盘）/WINDOWS/Microsoft.NET/ Framework/v2.0.50727目录下。

图3.2  LordPE显示mscorlib.dll的CLR头结构

CLR头中最重要的项是MetaData，它是IMAGE_DATA_DIRECTORY格式，指出了该文件中元数据存放的位置和大小。而这，就是3.2节将详细阐述的内容。