免杀笔记 ---＞ PE

本来是想先把Shellcode Loader给更新了的，但是涉及到一些PE相关的知识，所以就先把PE给更了，后面再把Shellcode Loader 给补上。

声明：本文章内容来自于B站小甲鱼

1.PE的结构

首先我们要讲一个PE文件，就得知道它的结构，可以参考下面的这张照片

2.DOS头部

首先一个PE文件，就是它的DOS结构。其中，需要我们去了解的，就是一开始的那个DOS标记以及我们执行的PE文件头

那么我们随便打开一个EXE来看一下。我门可以看见标志性的MZ

然后我们直接定位到3C这个位置，这里指向PE文件的头（写死的）

可以看见在这个PE文件中，它的PE开始是在80这个位置

于是我们就去到80这个位置

3.IMAGE_NT_HEADERS

1.Signature

这个字段，是用来标志着这是一个真正的PE文件，从上面，我们跳到了这里，就能看见我们的Signature标识字段。

2.IMAGE_FILE_HEADER

这个结构如下

其中重要的，就是SizeOfOptionalHeader这个值，这个就决定了后面的IMAGE_OPTIONAL_HEADER32的大小

3.IMAGE_OPTIONAL_HEADER32

其中一些比较重要的结构

AddressOfEntryPoint 程序执行入口RVA 在偏移值为28的地方

我们去那个偏移位置找一找（相对于PE头的偏移）DWORD类型，指向的是我们的14C

ImageBase

SectionAlignment和FileAlignment字段

其中FileAlignment默认是200，我们自己去PE文件找找是不是这么回事（它的偏移地址是3C）

而且他是DWORD类型，四个字节，我们在对应的地方确实是能看到是200！！

DataDirectory（数组）

其实可以这样子理解他定义了一个长度为16的数组，然后数组的每一个元素都是一个结构，这个结构里面都存储了两个元素，一个就是数据的起始RVA，另外一个就是数据块的长度

数组中的有些元素十分的重要（导入表，导出表，资源，重定位表，IAT表）

当我们需要寻找特定的资源的时候，我们就可以去找到这个数组的第三个元素，获取到对应的RVA以及长度，当我们要查看PE文件导入了哪些DLL的API的时候，我们就可以去导入表里面获取RVA（Relative Virtual Address）和长度！！！！

4.区块

接下来就是块表，首先他是这么一个结构

然后，我们来看name，像这种以.开头的（当然这个.不是必须的）

接下来就是相应的一些结构,比较重要一点的就是PointerToRawData 和 SizeOfRawData ，通过这两个，我们就能找到下一个块表的位置

除此，还有一个比较重要，这个标定了该区块的属性！！！

最后的判断，是通过存在的属性进行OR的操作判断的，比如我们看到它的characteristic是6000000的话，我们就知道是通过20（Code） OR 20000000（Execute） OR 40000000（Read） == （60000020）这样就能判断这个对应的属性

对于区块，一般都有以下的类型

然后就是区块的对对齐

RVA

相对虚拟地址

目标RVA和文件偏移的计算

在处理PE文件的时候，任何的RVA必须经过文件的偏移的换算，才能用来定位并访问文件中的数据。

首先，我们要循环扫描每个区块在内存中的起始RVA，并且根据区块的大小，算出区块的结束RVA，判断目标的RVA是否落在该区块内
然后通过获取到了目标区块之后，用目标RVA减去起始的RVA，这样就得到了目标RVA相对于起始地址的偏移量RVA2
最后，根据该区块表在文件中所处的偏移地址，将这个值加上RV2，就得到了文件的偏移地址！！！

假设我们有一个虚拟地址666666，那么我们就要去区块中查找

通过定位，我们可以发现他在.reloc这个区块中

那么RVA2 = 666666 - 66000 = 666，然后我们看到这个区块在文件中的偏移地址在60E00

所以我们这个虚拟地址在物理内存中的地址就是60E00 + 666 = 61466

5.导入表

说到导入表，我们肯定不会陌生，我们在一开始的PE头中，就讲过一个IMAGE_OPTIONAL_HEADER里面有一个特别重要的DataDirectory这个地方，里面放着我们的导入表！！！！

其中的第二个成员就是导入表，如果我们跳转到它的RVA之后，我们就能看见一个以IMAGE_IMPORT_DESCRIPTOR（简称IID）的数组开始的，每一个被加载进来的DLL文件都分别对应一个IID数组结构，当我们看到一个IID全为0的时候，就代表结束！！！！

对于每一个IID，它的结构如下：

它的长度为5个DWORD，其中重要的两个就是我们的FirstTrunk 和 OriginalFirstTrunk

6.IAT && IMAGE_IMPORT_BY_NAME

终于，我们学免杀要学的IAT表终于要出现了！！！！不过在此之前，我们先来看一张图片

其中能看见IID的第一个DWORD OriginalFirstTrunk指向了INT表的IMAGE_THUNK_DATA

然后DWORD FirstThunk 指向了IAT表中的IMAGE_THUNK_DATA ，并且这两个都指向了IMAGE_IMPORT_BY_NAME这个表

其中，对于我们的IMAGE_THUNK_DATA

然后就是IMAGE_IMPORT_BY_NAME

IAT（Import Address Table）导入地址表

那么下面，我们就来举个栗子演示一下：

首先我们来找一个程序，直接看他的DataDirectory中的导入表的地址

然后定位到块中的 .idata中

我们可以追踪到之后发现它存在两个IID，即调用了两个动态连接库

并且我们去查看第一个IID的Original_First_Thunk，指向的是INT表中的IMAGE_THUNK_DATA，并且这个值是2A15C，但是这是一个RVA，所以我们要找到它的实际偏移，我们用这个RVA减去.idata块的RVA 得到的RVA2再加上Raw Data offs 就是我们的实际偏移地址，2815C