Winhex在PE文件格式剖析中的教學應用

2014-12-25 05:03:26姚罡

科技視界 2014年26期

關鍵詞：分析

姚罡

（桂林電子科技大學，廣西桂林541004）

0 引言

PE（Portable Execute）文件被稱為可移植的執行體，是微軟制定的一種文件標準，常見的EXE、DLL、OCX、SYS、COM都是PE文件，在Windows操作系統中舉足輕重。在加密與解密、軟件漢化、逆向工程、反病毒等安全領域都涉及到PE文件的應用。

但PE文件格式定義復雜，難以理解，導致入門較難，學生很難深入去研究。通過多媒體教學，課堂上直接利用Winhex打開任意EXE文件或DLL文件，從原始的十六進制找到我們感興趣的值，可以明了地分析出Windows操作系統如何載入EXE文件及DLL文件的工作機制，將抽象的格式定義以直觀、互動的方式展示給學生，提高學生的學習興趣。

本文介紹了如何應用Winhex理解PE文件的教學過程，以研究輸入表和輸入地址表為例，并對兩者的運行機制進行分析，使得學生理解Windows操作系統如何載入PE文件，以及可執行文件如何調用API函數。

1 Winhex軟件簡介

winhex是一款以十六進制編輯器為核心的數據處理高級工具，可以直接打開硬盤上的文件和內存，并以十六進制形式顯示數據，可以實現數據恢復、低級數據處理等強大功能，可分析RAW格式原始數據鏡像文件中的完整目錄結構。Winhex可用于分析靜態PE文件（硬盤上）和動態PE文件（調入內存后），并通過靜、動態PE文件的比較，重點討論兩個非常重要的數據結構：輸入表和輸入地址表，從而掌握Windows操作系統中PE文件的工作機制。

2 PE文件格式分析

通過理解PE文件格式中的字段，可以逐步理解PE文件的結構及其原理。PE文件格式如圖1所示。所有的PE文件都是從MS-DOS頭開始，該頭部后面的是PE頭，其位置可從MS-DOS頭中的一個e_lfanew字段的值得到，PE頭是由PE Signature、IMAGE_FILE_HEADER、IMAGE_OPTIONAL_HEADER構成，在IMAGE_NT_HEADERS頭部后面是節表(Section Table)，節表是一個數組，數組中的每一個元素用來描述后繼每一節的信息，如節名、節大小、節偏移、節屬性等。在節表后面是具體的節，如代碼節(.text)、數據節(.data)等，PE文件中非常重要的輸入表、輸出表等就存在上述節中。

圖1 PE文件格式

2.1 判斷合法PE文件

利用Winhex打開一個可執行文件thunder.exe（迅雷安裝程序），通過對字段值的分析，即DOS頭的“MZ”和PE頭的“PE”這兩個標志可以初步判斷當前程序是否是目標是PE文件。也就是通過IMAGE_DOS_HEADER結構來識別一個合法的DOS頭，可以看到文件起始為0X4D5AH（“MZ”），接著通過該結構的e_lfanew(偏移3CH，32bits)的值是0x00000118H（注意字節序）即為PE頭開始的偏移，定位到該偏移，其值為PE文件開始的標志0X00004550H(“PE