Exe fájlformátum és a loader

Átírás

1 Exe fájlformátum és a loader Kódvisszafejtés. Izsó Tamás december 3. Izsó Tamás Exe fájlformátum és a loader/ 1

2 Section 1 PE/COFF Izsó Tamás Exe fájlformátum és a loader/ 2

3 Exe file leképzése a memóriába Unmapped Data.reloc section... section... section.rdata section.rdata section.data section.data section.text section.text section SECTION HEADERS SECTION HEADERS PE HEADER PE HEADER DOS HEADER DOS HEADER Növekvő file offset Növekvő memória cím Izsó Tamás Exe fájlformátum és a loader/ 3

4 Portable Executable fájl DOS operációs rendszerrel kompatibilis, figyelmeztető üzenetet ad, ha nem futtatható DOS alatt a program. A PE fájl eleje megegyezik a MZ végrehajtható fájlformátummal. DLL hívást támogatja. Az exe és a DLL azonos szerkezetű. A DLL fájlokat sokszor más kiterjesztéssel használják, pl. OCX, CPL Alpha, MIPS és.net MSIL végrehajtható fájlformátuma is egyben. 64 bites programok hasonló formában vannak tárolva, egyes helyeken a 32 bitet 64 bites adatok váltották fel. PE32+ elnevezést kapta. Izsó Tamás Exe fájlformátum és a loader/ 4

5 Relative Virtual Address (RVA) A futtatható fájlt a loader nem másolja be a memóriába, hanem az egyes szekciókat memory mapped file-ként kezeli. A fájlban tárolt szekciók 512-vel (0x200) osztható byte határon kezdődnek, míg a memóriában új lapra kerülnek, ahol egy lap 4Kbyte (vagy 8 Kbyte). Ezért a fájl adott tartalma a fájl elejétől más távolságra van, mint ugyanez az adat a memóriába a program elejétől számítva. RVA kiszámítása A memóriában lévő címek a betöltés helyétől függetlenül vannak megadva. Ha egy cím a 0x4010DA címen szerepel és a program képe a 0x címtől kezdve lett betöltve, akkor a relatív virtuális cím (RVA): RVA = 0x4010DA 0x = 0x10DA Izsó Tamás Exe fájlformátum és a loader/ 5

6 Exe file dumpja : 4D 5A FF FF MZ... DOS HEADER : B : : C : 0E 1F BA 0E 00 B4 09 CD 21 B8 01 4C CD L..Th : F D E 6E 6F is.program.canno : E E F t.be.run.in.dos : 6D 6F E 0D 0D 0A mode : C9 B5 76 DC 8D D4 18 8F 8D D4 18 8F 8D D4 18 8F..v : 84 AC 8B 8F 8E D4 18 8F 8D D4 19 8F 8F D4 18 8F A0: 84 AC 9B 8F 8C D4 18 8F 84 AC 89 8F 8C D4 18 8F... NT HEADER B0: D D4 18 8F Rich C0: C C 0B A PE..L...P D0: E B E0: F0: : IMAGE : OPTIONAL : : HEADER : 0C : : IMAGE : DATA : DIRECTORY : C A0: B0: E text C0: 2A D0: E0: 2E C rdata F0: : : : : SECTION : TABLE : : : : : A0: B0: C0: D0: E0: F0: : : : : : : : : : : A0: text B0: adatok C0: D0: E0: F0: : 55 8B EC 51 6A 04 6A 03 FF C4 U..Qj.j : FC 8B 45 FC 50 FF C4..E..E.P : 04 B B E5 5D C : : : : : : : A0: B0: C0: D0: E0: F0: : : : : : : : : : : A0: B0: C0: D0: E0: F0: : 4C L : R : : C L : E F 6E Function...Ad : C 63 2E 64 6C 6C d.calc.dll : : : : A0: B0: C0: D0: E0: F0: 00.rdata : : 00 adatok : : : : : : : : A0: B0: C0: D0: E0: F0: Izsó Tamás Exe fájlformátum és a loader/ 6

7 DOS HEADER typedef struct _IMAGE_DOS_HEADER { / / DOS.EXE header WORD e_magic ; / / Magic number WORD e_cblp ; / / Bytes on l a s t page of f i l e WORD e_cp ; / / Pages i n f i l e WORD e _ crlc ; / / Relocations WORD e_cparhdr ; / / Size of header i n paragraphs WORD e_minalloc ; / / Minimum e x t r a paragraphs needed WORD e_maxalloc ; / / Maximum e x t r a paragraphs needed WORD e_ss ; / / I n i t i a l ( r e l a t i v e ) SS value WORD e_sp ; / / I n i t i a l SP value WORD e_csum ; / / Checksum WORD e_ip ; / / I n i t i a l IP value WORD e_cs ; / / I n i t i a l ( r e l a t i v e ) CS value WORD e _ l f a r l c ; / / F i l e address of r e l o c a t i o n t a b l e WORD e_ovno ; / / Overlay number WORD e_res [ 4 ] ; / / Reserved words WORD e_oemid ; / / OEM i d e n t i f i e r ( f o r e_oeminfo ) WORD e_oeminfo ; / / OEM i n f o r m a t i o n ; e_oemid s p e c i f i c WORD e_res2 [ 1 0 ] ; / / Reserved words LONG e_lfanew ; / / F i l e address of new exe header } IMAGE_DOS_HEADER, PIMAGE_DOS_HEADER; Izsó Tamás Exe fájlformátum és a loader/ 7

8 DOS HEADER tartalma Két érdemi részt tartalmaz: 1 e_magic értéke "MZ" (Mark Zbikowski) 2 e_lfanew file offset, a PE header-re mutat. DOS_HEADER után kis DOS program következik. A PE rész közvetlenűl ez után, 8-cal osztható címre igazítva található. Izsó Tamás Exe fájlformátum és a loader/ 8

9 DOS header dumpja : 4D 5A FF FF MZ : B : : C : 0E 1F BA 0E 00 B4 09 CD 21 B8 01 4C CD L.. T h : F D E 6E 6F i s. p r o g r a m. c a n n o : E E F t. b e. r u n. i n. D O S : 6D 6F E 0D 0D 0A m o d e : C9 B5 76 DC 8D D4 18 8F 8D D4 18 8F 8D D4 18 8F.. v : 84 AC 8B 8F 8E D4 18 8F 8D D4 19 8F 8F D4 18 8F A0 : 84 AC 9B 8F 8C D4 18 8F 84 AC 89 8F 8C D4 18 8F B0 : D D4 18 8F R i c h C0 : C C 0B A PE.. L P D0 : E B E0 : PE kezdete NT header DOS header Izsó Tamás Exe fájlformátum és a loader/ 9

10 NT HEADER typedef s t r u c t _IMAGE_NT_HEADERS { DWORD Signature ; / / "PE" IMAGE_FILE_HEADER FileHeader ; IMAGE_OPTIONAL_HEADER32 OptionalHeader ; } IMAGE_NT_HEADERS32, PIMAGE_NT_HEADERS32; Izsó Tamás Exe fájlformátum és a loader/ 10

11 NT header dumpja DOS header : 4D 5A FF FF MZ : B : : C : 0E 1F BA 0E 00 B4 09 CD 21 B8 01 4C CD L.. T h : 69 Intel later 70 72processors 6F D E 6E 6F i s. p r o g r a m. c a n n o : 74 and20 compatible processors6f 75 6E E F t. b e. r u n. i n. D O S E 0D 0D 0A m o d e : 6D : C9 B5 76 DC 8D D4 18 8F 8D D4 18 8F 8D D4 18 8F.. v : signature 84 AC 8B 8F 8E D4 18 8F 8D D4 19 8F 8F D4 18 8F A0 : 84 AC 9B 8F 8C 2D4 section szimbólumtáblára 18 8F 84 AC 89 8F 8C D4 18 8F B0 : D D4 18 8F időbélyeg mutató pointer R i c h C0 : C C 0B A PE.. L P D0 : E B E0 : Szimbólumok száma Opcionális header mérete IMAGE_FILE_EXECUTABLE_IMAGE IMAGE_FILE_RELOCS_STRIPPED NT header Izsó Tamás Exe fájlformátum és a loader/ 11

12 IMAGE FILE HEADER typedef s t r u c t _IMAGE_FILE_HEADER { WORD Machine ; WORD NumberOfSections ; DWORD TimeDateStamp ; DWORD PointerToSymbolTable ; DWORD NumberOfSymbols ; WORD SizeOfOptionalHeader ; WORD C h a r a c t e r i s t i c s ; } IMAGE_FILE_HEADER, PIMAGE_FILE_HEADER ; Izsó Tamás Exe fájlformátum és a loader/ 12

13 IMAGE OPTIONAL HEADER standard mezők typedef s t r u c t _IMAGE_OPTIONAL_HEADER { WORD Magic ; BYTE MajorLinkerVersion ; BYTE MinorLinkerVersion ; DWORD SizeOfCode ; DWORD S i z e O f I n i t i a l i z e d D a t a ; DWORD S i z e O f U n i n i t i a l i z e d D a t a ; DWORD AddressOfEntryPoint ; DWORD BaseOfCode ; DWORD BaseOfData ; Izsó Tamás Exe fájlformátum és a loader/ 13

14 IMAGE OPTIONAL HEADER NT specifikus mezők DWORD ImageBase ; DWORD SectionAlignment ; DWORD FileAlignment ; WORD MajorOperatingSystemVersion ; WORD MinorOperatingSystemVersion ; WORD MajorImageVersion ; WORD MinorImageVersion ; WORD MajorSubsystemVersion ; WORD MinorSubsystemVersion ; DWORD Win32VersionValue ; DWORD SizeOfImage ; DWORD SizeOfHeaders ; DWORD CheckSum ; WORD Subsystem ; WORD D l l C h a r a c t e r i s t i c s ; DWORD SizeOfStackReserve ; DWORD SizeOfStackCommit ; DWORD SizeOfHeapReserve ; DWORD SizeOfHeapCommit ; DWORD LoaderFlags ; DWORD NumberOfRvaAndSizes ; IMAGE_DATA_DIRECTORY DataDirectory [IMAGE_NUMBEROF_DIRECTORY_ENTRIES ] ; } IMAGE_OPTIONAL_HEADER32, PIMAGE_OPTIONAL_HEADER32; Izsó Tamás Exe fájlformátum és a loader/ 14

15 Optional header dumpja.data mérete.bbs mérete program belépési pontja RVA PE32.text mérete Kód címe RVA NT HEADER C0: C C 0B A PE..L...P D0: E B E0: F0: : IMAGE : : 00 adat címe00 image betőltési OPTIONAL címhatárra file 00 offset : 00 RVA címe HEADER igazítás határra igazítás : 0C : : IMAGE : DATA : DIRECTORY : C A0: B0: E text... Izsó Tamás Exe fájlformátum és a loader/ 15

16 SECTION TABLE A section táblák kezdete: psectiontable = &NtHeader. OptionalHeader + NtHeader. FileHeader. SizeOfOptionalHeader ; typedef struct _IMAGE_SECTION_HEADER { BYTE Name[ IMAGE_SIZEOF_SHORT_NAME ] ; / / s e c t i o n neve union { DWORD PhysicalAddress ; DWORD V i r t u a l S i z e ; / / l e f o g l a l t méret } Misc ; DWORD VirtualAddress ; / / RVA DWORD SizeOfRawData ; / / adatok tényleges mérete DWORD PointerToRawData ; DWORD PointerToRelocations ; DWORD PointerToLinenumbers ; WORD NumberOfRelocations ; WORD NumberOfLinenumbers ; DWORD C h a r a c t e r i s t i c s ; } IMAGE_SECTION_HEADER, PIMAGE_SECTION_HEADER; Izsó Tamás Exe fájlformátum és a loader/ 16

17 SECTION TABLE dumpja opcionális header mérete + section tábla kezdete opcionális header kezdete NT HEADER C0: C C 0B A PE..L...P D0: E B E0: F0: : IMAGE : OPTIONAL : : HEADER : 0C : : section név IMAGE : DATA : DIRECTORY : C A0: B0: E text C0: 2A D0: E0: 2E C rdata F0: : : : mérete a 00 fájlban : SECTION adatok méret : helye 00 a TABLE : fájlban : cím (RVA) : : : A0: B0: C0: D0: E0: F0: : : : : : : : : : : A0: text B0: adatok C0: D0: E0: F0: : 55 8B EC 51 6A 04 6A 03 FF C4 U..Qj.j : FC 8B 45 FC 50 FF C4..E..E.P : 04 B B E5 5D C : : : : : : : : : : : A0: B0: C0: D0: E0: F0: : 4C L : R : : C L : E F 6E Function...Ad : C 63 2E 64 6C 6C d.calc.dll : : : : A0: B0: C0: D0: E0: F0: 00.rdata : : 00 adatok : : : : : : : : A0: B0: C0: D0: E0: F0: Izsó Tamás Exe fájlformátum és a loader/ 17

18 IMAGE DATA DIRECTORY 16 db bejegyzés typedef s t r u c t _IMAGE_DATA_DIRECTORY { DWORD V i r t u a l A d d r e s s ; DWORD Size ; } IMAGE_DATA_DIRECTORY, PIMAGE_DATA_DIRECTORY; Izsó Tamás Exe fájlformátum és a loader/ 18

19 IMAGE DATA Bejegyzések 16 db bejegyzés 0 Export Table dll.edata Section 1 Import Table dll.idata 2 Resource Table.rsrc Section 3 Exception Table.pdata Section 4 Certificate Table 5 Base Relocation Table.reloc Section 6 Debug.debug Section 7 Architecture Specific Data reserved 0 8 Global Ptr 9 TLS Directory 10 Load Configuration Directory 11 Bound Import 12 IAT import address table 13 Delay Load Import Descriptors 14 CLR Runtime descriptor 15 reserved 0 Izsó Tamás Exe fájlformátum és a loader/ 19

20 IMAGE DATA kikeresése a SECTION TABLE-ban A section tábla kezdete a memóriában (RVA): PIMAGE_SECTION_HEADER getsectionhdr ( DWORD rva ) { PIMAGE_SECTION_HEADER section = IMAGE_FIRST_SECTION( pntheader ) ; unsigned i ; for ( i =0; i < pntheader >FileHeader. NumberOfSections ; i ++, section ++) { DWORD size = section >Misc. VirtualSize ; / / Is the RVA within t h i s section? i f ( ( rva >= section >V i r t u a l A d d r e s s ) && ( rva < ( section >VirtualAddress + size ) ) ) return section ; } return 0; } A section tábla kezdete a fájlban (offset): DWORD GetOffsetFromRVA ( DWORD rva, PIMAGE_SECTION_HEADER psectionhdr ) { / / rva = 0x200C / / Dumpban 0x2000 0x600, d e l t a = 0x0C DWORD delta = rva psectionhdr >VirtualAddress ; return delta + psectionhdr >PointerToRawData ; / / 0x60C } Izsó Tamás Exe fájlformátum és a loader/ 20

21 EXPORT DIRECTORY Entry typedef s t r u c t _IMAGE_EXPORT_DIRECTORY { DWORD C h a r a c t e r i s t i c s ; / / Set 0 DWORD TimeDateStamp ; WORD MajorVersion ; / / User s e t WORD MinorVersion ; / / User s e t DWORD Name; / / DLL name (RVA) DWORD Base ; DWORD NumberOfFunctions ; DWORD NumberOfNames ; DWORD AddressOfFunctions ; / / EAT (RVA) DWORD AddressOfNames ; / / RVA DWORD AddressOfNameOrdinals ; / / RVA } IMAGE_EXPORT_DIRECTORY, PIMAGE_EXPORT_DIRECTORY; Izsó Tamás Exe fájlformátum és a loader/ 21

22 IMPORT DIRECTORY DATA dumpja NT HEADER C0: C C 0B A PE..L...P D0: E B E0: F0: : IMAGE : OPTIONAL : : HEADER : 0C : : IMAGE IMPORT SECTION : IMPORT SECTION DATA : 00 RVA MÉRET DIRECTORY : C A0: section név B0: E text C0: 2A D0: E0: 2E C rdata F0: : : cím (RVA) : : SECTION adatok méret : TABLE : mérete a 00 fájlban : : helye a : fájlban : A0: B0: C0: D0: E0: F0: : : : : : : : : : : : : : : : A0: B0: C0: D0: E0: F0: : 4C L : R : : C L : E F 6E Function...Ad : C 63 2E 64 6C 6C d.calc.dll : : : : A0: B0: C0: D0: E0: F0: 00.rdata : : 00 adatok : : : : : : : Izsó Tamás Exe fájlformátum és a loader/ 22

23 IMAGE IMPORT DESCRIPTOR typedef struct _IMAGE_IMPORT_DESCRIPTOR { union { DWORD C h a r a c t e r i s t i c s ; DWORD O r i g i n a l F i r s t T h u n k ; / / RVA to o r i g i n a l unbound IAT } DUMMYUNIONNAME; DWORD TimeDateStamp ; / / 0 i f not bound, DWORD ForwarderChain ; / / 1 i f no forwarders DWORD Name; DWORD FirstThunk ; / / RVA to IAT } IMAGE_IMPORT_DESCRIPTOR; typedef s t r u c t _IMAGE_IMPORT_BY_NAME { WORD Hint ; BYTE Name [ 1 ] ; } IMAGE_IMPORT_BY_NAME, PIMAGE_IMPORT_BY_NAME; Izsó Tamás Exe fájlformátum és a loader/ 23

24 IMPORT TABLE Hint Name Table IMAGE_IMPORT _BY_NAME 44 GetMessage Import Address Table IMAGE IMPORT DESCRIPTOR OriginalFirstThunk TimeDateStamp ForwarderChain Name FirstThunk USER32.DLL 72 LoadIcon 19 TranslateMessage 95 IsWindow További DLL-ek leírása Izsó Tamás Exe fájlformátum és a loader/ 24

25 IMPORT TABLE : : : : rdata A0: adatok B0: C0: D0: OriginalFirstThunk E0: F0: : 4C L : R : : C L : E F 6E Function...Ad : C 63 2E 64 6C 16C d.calc.dll : : Ordinal : : Name (RVA) Name (RVA) FirstThunk A0: B0: C0: D0: Importált E0: szimbólum F0: : (függvény) neve Izsó Tamás Exe fájlformátum és a loader/ 25

26 IMPORT TABLE program indítása után a memóriában R C L E F 6E F u n c t i o n.... A d C 63 2E 64 6C 6C d. c a l c. d l l Izsó Tamás Exe fájlformátum és a loader/ 26

27 DLL-ben lévő függvény hívása PUSH EBP BEC MOV EBP, ESP PUSH ECX A 04 PUSH A 03 PUSH FF CALL DWORD PTR DS:[ <& calc.add >] E 83C4 08 ADD ESP, FC MOV DWORD PTR SS : [ LOCAL.1 ],EAX B45 FC MOV EAX,DWORD PTR SS : [ LOCAL.1 ] PUSH EAX FF CALL DWORD PTR DS:[ <& calc. Function >] E 83C4 04 ADD ESP, B MOV EAX, BE5 MOV ESP,EBP D POP EBP C3 RETN Izsó Tamás Exe fájlformátum és a loader/ 27

28 DLL tartalma PUSH EBP BEC MOV EBP,ESP B45 08 MOV EAX,DWORD PTR SS : [ EBP+8] C ADD EAX,DWORD PTR SS : [ EBP+0C] D POP EBP A C3 RETN PUSH EBP BEC MOV EBP,ESP B45 08 MOV EAX,DWORD PTR SS : [ EBP+8] B45 0C SUB EAX,DWORD PTR SS : [ EBP+0C] D POP EBP A C3 RETN PUSH EBP BEC MOV EBP,ESP B45 08 MOV EAX,DWORD PTR SS : [ EBP+8] FAF45 0C IMUL EAX,DWORD PTR SS : [ EBP+0C] A 5D POP EBP B C3 RETN PUSH EBP BEC MOV EBP,ESP B45 08 MOV EAX,DWORD PTR SS : [ EBP+8] PUSH EAX C00010 PUSH OFFSET 1000C000 ; ASCII " P r i n t f from DLL %d " C E8 7F CALL C C4 08 ADD ESP, D POP EBP C3 RETN Izsó Tamás Exe fájlformátum és a loader/ 28

29 Importált függvények címének feloldása A program a dll-ben lévő Add() függvényt a címen a CALL [ ] utasítással hívja meg. Az indirekten hívott függvény címét az Import Address Table (IAT) tárolja. A fordító a declspec(dllimport) int Add(int,int) ; függvény tárolási osztály módosító hatására generál optimálisabb kódot. Ha nem adjuk meg, akkor a CALL XXXXXXXX utasításnak meg kellene hívni egy thunk kódot, ami megoldja a DLL-ben lévő függvény hívását. A fordító egy imp Add szimbólumot is generál, amely egy pointer, és az IAT táblában foglal helyet. A loadernek a betöltésnél csak az IAT-t kell megváltoztatni. A függvényeket nemcsak név, hanem sorszám (ordinal number) alapján is meg lehet hívni. Izsó Tamás Exe fájlformátum és a loader/ 29

30 Optimalizálatlan DLL függvényhívás Ha a főprogramban nem használjuk a declspec(dllimport) függvény tárolási osztály módosítót, ekkor a következő nem annyira hatékony kód keletkezik: PUSH EBP BEC MOV EBP,ESP PUSH ECX A 04 PUSH A 03 PUSH E CALL <JMP.&calc.Add > ; Jump to calc.add D 83C4 08 ADD ESP, FC MOV DWORD PTR SS : [ LOCAL.1 ],EAX B45 FC MOV EAX,DWORD PTR SS : [ LOCAL.1 ] PUSH EAX E8 0C CALL <JMP.&c a l c. F u n c t i o n > ; Jump to c a l c. F u n c t i o n C 83C4 04 ADD ESP, F B MOV EAX, BE5 MOV ESP,EBP D POP EBP C3 RETN $ FF JMP DWORD PTR DS:[ <& calc. Function >] E $ FF JMP DWORD PTR DS:[ <& calc.add >] Izsó Tamás Exe fájlformátum és a loader/ 30

31 BIND utility Bind.Exe -v -u test_implicit.exe BIND: test_implicit.exe - Imports from calc.dll BIND: test_implicit.exe - Add Bound to BIND: test_implicit.exe - Function Bound to BIND: Details of binding of test_implicit.exe Import from calc.dll [50a80afb] : : FF FF FF FF FF FF FF FF R : : C L : E F 6E F u n c t i o n.... A d : C 63 2E 64 6C 6C d. c a l c. d l l A Bind utility feloldja az IAT táblában levő címeket. Hogyan lehetséges ez? A program relokálása a virtuális memóriakezelés által hardware szintű támogatást kap. Az időbélyeg és az Image Bound Import Descriptor (lásd az irodalmat) alapján a loader megbízhatóan el tudja dönteni, hogy a DLL fájl újra lett linkelve. Izsó Tamás Exe fájlformátum és a loader/ 31

32 Irodalom 1 Matt Pietrek An In-Depth Look into the Win32 Portable Executable File Format com/en-us/magazine/bb aspx 2 Matt Pietrek Peering Inside the PE: A Tour of the Win32 Portable Executable File Format com/en-us/magazine/ms aspx 3 Microsoft PE and COFF Specification. microsoft.com/en-us/library/windows/hardware/ gg aspx Izsó Tamás Exe fájlformátum és a loader/ 32