[File Structure] PE파일(Portable Executable)

PE-COFF(Portable Executable Common Object File Format)

---

Windows 운영 체제에서 실행 파일(executable files)와 object 파일. 즉 윈도우즈에서 사용되는 실행 파일을 뜻한다. PE파일에는 exe, scr, com, dll, ocx, sys 등이 있다.

PE파일은 악성코드 분석이나 리버스 엔지니어링의 주요 대상이기때문에 보안을 공부하는 사람들이 반드시 공부해야 하는 것 중 하나라고 할 수 있다.

 

PE파일 구조

---

PE파일의 구조를 공부하기 위해 PE파일의 헤더에 대한 공부는 필수적이다. PE헤더에 파일이 실행되기 위해 필요한 모든 정보가 구조체 형식으로 적혀있기때문이다.

 

 

 

 

DOS Header

64bytes로 고정된 길이를 가지며 주요 구성요소는 e_magic(2bytes)와 e_lfanew(4bytes)다.

e_magic	2bytes	0x00	MZ
...	...	...
e_lfanew	4bytes	0x3C	NT header의 시작점

 

 

 

DOS Stub Code

길이가 가변적이고 Linker가 만들어서 삽입하는 부분이다. 윈도우가 아닌 DoS 환경에서 실행되었을 경우 실행되는 코드로 필수 구성요소가 아니다.

 

 

NT Header

120bytes 혹은 248bytes의 길이를 가지며 프로그램 실행에 필요한 요소를 가지고 있다.

NT header 구조체는 크게 Signature, FileHeader, OptionalHeader 3가지로 구성되어 있다.

 

typedef struct _IMAGE_NT_HEADERS {
  DWORD                   Signature;
  IMAGE_FILE_HEADER       FileHeader;
  IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

 

Signature	4bytes	0x00	PE(0x50450000)
FILE_Header	20bytes	0x04
Optional_Header	96bytes, 224bytes	0x18

 

 

- File Header

typedef struct _IMAGE_FILE_HEADER {
  WORD  Machine;
  WORD  NumberOfSections;
  DWORD TimeDateStamp;
  DWORD PointerToSymbolTable;
  DWORD NumberOfSymbols;
  WORD  SizeOfOptionalHeader;
  WORD  Characteristics;
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

 

Machine	2bytes	0x00	IA32: 0x014c / IA64: 0x0200 / AMD64: 0x8664
NumberOfSections	2bytes	0x02	섹션 개수
TimeDateStamp	4bytes	0x04	파일의 빌드 시간
...	...	...	...
SizeOfOptionalHeader	2bytes	0x10	Optional Header 크기.
Characteristics	2bytes	0x12	파일 속성

 

Characteristics의 플래그는 다음과 같다.

(https://docs.microsoft.com/ko-kr/windows/win32/api/winnt/ns-winnt-image_file_header)

IMAGE_FILE_RELOCS_STRIPPED	0x0001	Relocation information was stripped from the file. The file must be loaded at its preferred base address. If the base address is not available, the loader reports an error.
IMAGE_FILE_EXECUTABLE_IMAGE	0x0002	The file is executable (there are no unresolved external references).
IMAGE_FILE_LINE_NUMS_STRIPPED	0x0004	COFF line numbers were stripped from the file.
IMAGE_FILE_LOCAL_SYMS_STRIPPED	0x0008	COFF symbol table entries were stripped from file.
IMAGE_FILE_AGGRESIVE_WS_TRIM	0x0010	Aggressively trim the working set. This value is obsolete.
IMAGE_FILE_LARGE_ADDRESS_AWARE	0x0020	The application can handle addresses larger than 2 GB.
IMAGE_FILE_BYTES_REVERSED_LO	0x0080	The bytes of the word are reversed. This flag is obsolete.
IMAGE_FILE_32BIT_MACHINE	0x0100	The computer supports 32-bit words.
IMAGE_FILE_DEBUG_STRIPPED	0x0200	Debugging information was removed and stored separately in another file.
IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP	0x0400	If the image is on removable media, copy it to and run it from the swap file.
IMAGE_FILE_NET_RUN_FROM_SWAP	0x0800	If the image is on the network, copy it to and run it from the swap file.
IMAGE_FILE_SYSTEM	0x1000	The image is a system file.
IMAGE_FILE_DLL	0x2000	The image is a DLL file. While it is an executable file, it cannot be run directly.
IMAGE_FILE_UP_SYSTEM_ONLY	0x4000	The file should be run only on a uniprocessor computer.
IMAGE_FILE_BYTES_REVERSED_HI	0x8000	The bytes of the word are reversed. This flag is obsolete.

 

 

- Optional Header

typedef struct _IMAGE_OPTIONAL_HEADER {
  WORD                 Magic;
  BYTE                 MajorLinkerVersion;
  BYTE                 MinorLinkerVersion;
  DWORD                SizeOfCode;
  DWORD                SizeOfInitializedData;
  DWORD                SizeOfUninitializedData;
  DWORD                AddressOfEntryPoint;
  DWORD                BaseOfCode;
  DWORD                BaseOfData;
  DWORD                ImageBase;
  DWORD                SectionAlignment;
  DWORD                FileAlignment;
  WORD                 MajorOperatingSystemVersion;
  WORD                 MinorOperatingSystemVersion;
  WORD                 MajorImageVersion;
  WORD                 MinorImageVersion;
  WORD                 MajorSubsystemVersion;
  WORD                 MinorSubsystemVersion;
  DWORD                Win32VersionValue;
  DWORD                SizeOfImage;
  DWORD                SizeOfHeaders;
  DWORD                CheckSum;
  WORD                 Subsystem;
  WORD                 DllCharacteristics;
  DWORD                SizeOfStackReserve;
  DWORD                SizeOfStackCommit;
  DWORD                SizeOfHeapReserve;
  DWORD                SizeOfHeapCommit;
  DWORD                LoaderFlags;
  DWORD                NumberOfRvaAndSizes;
  IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

 

Magic	2bytes	0x00	Optional Header 시작, 0x010b(HDR32), 0x020b(HDR64)
...	...	...
AddressOfEntrypoint	4bytes	0x10	PE파일이 메모리에 로드된 후 처음 실행되어야하는 코드(EntryPoint) 주소
...	...	...
ImageBase	4bytes	0x1C	메모리 내에서 PE 파일이 로딩(매핑)되는 시작 주소 일반적으로 exe - 0x4000000 dll-0x1000000
SectionAlignment	4bytes	0x20	메모리에서 섹션의 최소단위
FileAlignment	4bytes	0x24	파일에서 섹션의 최소단위
...	...	...
SizeOfImage	4bytes	0x38	메모리에 로드된 PE file 크기
...	...
DataDirectory	128bytes	0x60

 

 

Section Header

각 section의 속성을 정의한 부분으로 각 section 별 IMAGE_SECTION_HEADER 구조체의 배열로 구성된다.

 

typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize;
  } Misc;
  DWORD VirtualAddress;
  DWORD SizeOfRawData;
  DWORD PointerToRawData;
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

 

Name	8bytes	0x00	section 이름, 최대 8bytes
...	....
VirtualAddress	4bytes	0x0C	section 시작주소 값(RVA)
SizeOfRawData	4bytes	0x10	파일 상태에서의 section 크기
PointerToRawData	4bytes	0x14	파일 상태에서 section 시작 위치(RVA)
...	...
Characteristics	4bytes	0x24	section 속성 값

 

 

 

Section

프로그램의 실제 내용을 담고 있는 블록이다.

optional header 구조체의 file alignment가 0x0200이었으므로 200의 배수부터 text section이 시작되는데 200은 아직 section header가 있으므로 400부터 text section이 시작된다.

 

---

실행 파일 생성 과정

=> 소스코드 -(Compiler)->오브젝트파일-(Linker)->exe, elf

 

RVA

- 상대주소

- RVA = RAW - ImageBase

 

RAW

- 데이터가 쓰인 파일 내의 주소

- RAW = RVA+ImageBase

- RAW = RVA - VirtualAddress + PointerToRawData

 

---

참고

https://docs.microsoft.com/en-us/windows/win32/api/winnt/ns-winnt-image_nt_headers32