当前位置：文档之家 › PE文件分析

PE文件分析

  • 格式：doc
  • 大小：574.50 KB
  • 文档页数：5

Hello-2.5.exe程序-PE文件格式分析

姓名：__ ___ 学号：_____

0 1 2 3 4 5 6 7 8 9 A B C D E F

------------------------------------------------------------------------------ 00000000h: 4D 5A 90 00 03 00 00 00 04 00 00 00 FF FF 00 00 ; MZ?..........

00000010h: B8 00 00 00 00 00 00 00 40 00 00 00 00 00 00 00 ; ?......@.......

00000020h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000030h: 00 00 00 00 00 00 00 00 00 00 00 00 B0 00 00 00 ; ............?..

00000040h: 0E 1F BA 0E 00 B4 09 CD 21 B8 01 4C CD 21 54 68 ; ..?.???L?Th

00000050h: 69 73 20 70 72 6F 67 72 61 6D 20 63 61 6E 6E 6F ; is program canno

00000060h: 74 20 62 65 20 72 75 6E 20 69 6E 20 44 4F 53 20 ; t be run in DOS

00000070h: 6D 6F 64 65 2E 0D 0D 0A 24 00 00 00 00 00 00 00 ; mode....$.......

00000080h: 5D 65 FD C8 19 04 93 9B 19 04 93 9B 19 04 93 9B ; ]e..摏..摏..摏

00000090h: 97 1B 80 9B 11 04 93 9B E5 24 81 9B 18 04 93 9B ; ?€?.摏?仜..摏

000000a0h: 52 69 63 68 19 04 93 9B 00 00 00 00 00 00 00 00 ; Rich..摏........

000000b0h: 50 45 00 00 4C 01 03 00 9B 4D 8F 42 00 00 00 00 ; PE..L...汳廈....

000000c0h: 00 00 00 00 E0 00 0F 01 0B 01 05 0C 00 02 00 00 ; ....?..........

000000d0h: 00 04 00 00 00 00 00 00 00 10 00 00 00 10 00 00 ; ................

000000e0h: 00 20 00 00 00 00 40 00 00 10 00 00 00 02 00 00 ; . ....@.........

000000f0h: 04 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 ; ................

00000100h: 00 40 00 00 00 04 00 00 00 00 00 00 02 00 00 00 ; .@..............

00000110h: 00 00 10 00 00 10 00 00 00 00 10 00 00 10 00 00 ; ................

00000120h: 00 00 00 00 10 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000130h: 14 20 00 00 3C 00 00 00 00 00 00 00 00 00 00 00 ; . ..<...........

00000140h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000150h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000160h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000170h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000180h: 00 00 00 00 00 00 00 00 00 20 00 00 14 00 00 00 ; ......... ......

00000190h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

000001a0h: 00 00 00 00 00 00 00 00 2E 74 65 78 74 00 00 00 ; .........text...

000001b0h: 46 00 00 00 00 10 00 00 00 02 00 00 00 04 00 00 ; F...............

000001c0h: 00 00 00 00 00 00 00 00 00 00 00 00 20 00 00 60 ; ............ ..`

000001d0h: 2E 72 64 61 74 61 00 00 A6 00 00 00 00 20 00 00 ; .rdata..?... ..

000001e0h: 00 02 00 00 00 06 00 00 00 00 00 00 00 00 00 00 ; ................

000001f0h: 00 00 00 00 40 00 00 40 2E 64 61 74 61 00 00 00 ; ....@..@.data...

00000200h: 8E 00 00 00 00 30 00 00 00 02 00 00 00 08 00 00 ; ?...0..........

00000210h: 00 00 00 00 00 00 00 00 00 00 00 00 40 00 00 C0 ; ............@..?

00000220h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000230h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000240h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000250h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000260h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000270h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................ 00000280h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000290h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

0 1 2 3 4 5 6 7 8 9 A B C D E F

----------------------------------------------------------------------------

000002a0h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

000002b0h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

000002c0h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

000002d0h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................ 000002e0h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................ 000002f0h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000300h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000310h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000320h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000330h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000340h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000350h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000360h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

00000370h: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ; ................

合集下载

peclass的书写格式

peclass的书写格式

peclass的书写格式

一、什么是peclass？

peclass是一种常用于Windows可执行文件（PE文件）的格式规范。PE文件是Windows操作系统下的可执行文件，包括.exe和.dll等文件类型。peclass定义了PE文件的结构和组织方式，规定了PE文件各个部分的格式和内容，使得不同的PE文件能够被系统正确解析和执行。

二、peclass的结构

PE文件由多个部分组成，包括PE头、节表、导出表、导入表、资源表等。peclass规定了每个部分的结构和内容，并规定了它们在PE文件中的排列方式。

2.1 PE头

PE头是PE文件的入口，包含了文件的基本信息，如文件类型、目标机器类型、程序入口点等。PE头的结构由peclass定义，并且在文件的起始位置处。

2.2 节表

节表描述了PE文件中的各个节（section），每个节对应一段内存空间，包含可执行代码、数据、资源等。peclass定义了节表的格式和内容，使得系统能够正确加载和执行PE文件中的代码和数据。

2.3 导出表

导出表用于描述PE文件中的函数和变量，以供其他程序使用。peclass规定了导出表的结构和内容，使得其他程序能够正确引用和调用PE文件中的函数和变量。

2.4 导入表

导入表用于描述PE文件中依赖的其他函数和变量，以供自身程序使用。peclass规定了导入表的格式和内容，使得PE文件能够正确加载和调用其他函数和变量。 2.5 资源表

资源表描述了PE文件中的资源，如图标、位图、字符串等。peclass定义了资源表的结构和内容，使得PE文件能够正确加载和显示各种资源。

三、peclass的书写格式要求

为了确保PE文件的正确解析和执行，peclass对PE文件的书写格式有一定要求。以下是peclass的书写格式要求：

3.1 对齐需求

PE文件的各个部分需要按照一定的对齐方式进行排列，在文件对齐和内存对齐方面有不同的要求。peclass规定了对齐的方式和取值范围，以保证文件的正确性和性能。

peid 原理

peid 原理

peid 原理

PEID（Portable Executable Identifier）是一种用于识别可执行文件格式的工具，它可以帮助分析人员确定一个可执行文件的属性和特征。本文将介绍PEID的原理及其在软件分析领域的应用。

PEID的原理基于对可执行文件的结构和特征进行分析和识别。可执行文件是计算机程序或软件的载体，如Windows操作系统中的程序文件（.exe）或动态链接库（.dll）。PEID通过解析文件的头部信息，查找特定的标志和标识符，来确定文件是否符合PE文件格式。

PE文件格式是Windows操作系统中常见的可执行文件格式，它具有一定的结构和规范。PEID会检查文件的文件头、节表、导入导出表等部分，用于判断文件是否遵循PE文件格式，并提取文件的属性和特征。

PEID的应用范围广泛。对于安全研究人员和反病毒工程师来说，PEID可以帮助他们识别和分析未知的恶意软件样本。通过比对已知的PE文件特征库，他们可以判断一个文件是否是恶意文件，并深入分析其行为和特征，从而改进安全防护策略。

此外，PEID还可用于软件开发中的调试和逆向工程。开发人员可以使用PEID来验证生成的可执行文件是否遵循PE文件格式，并确保文件的正确性和兼容性。逆向工程师可以利用PEID来识别和解析未知的可执行文件，了解其中的执行逻辑和功能实现，以便进行进一步的逆向分析。

总结而言，PEID作为一种可执行文件识别工具，在软件分析领域中发挥着重要作用。通过解析文件的结构和特征，PEID可以帮助人们识别和分析各种类型的可执行文件，包括恶意软件和正常的应用程序。无论是安全研究、反病毒工程还是软件开发和逆向工程，PEID都是一个不可或缺的工具。

binwalk用法

binwalk用法

binwalk用法

摘要：

binwalk用法概述

1.简介

2.安装与使用

3.主要功能与特点

4.适用场景

5.实战案例

6.总结与建议

正文：

binwalk是一款强大的二进制文件分析工具，主要用于逆向工程、网络安全和渗透测试等领域。以下是关于binwalk的用法概述，包括安装、使用、功能、适用场景和实战案例等方面的内容。

一、简介

binwalk是一款开源工具，基于Python编写，其核心功能是对二进制文件进行分析和修改。它支持多种文件格式，如ELF、PE、Mach-O等，可以帮助研究人员深入挖掘二进制文件的内部结构，从而实现对恶意软件、嵌入式系统等领域的深入了解。

二、安装与使用

1.安装：

binwalk的安装过程相对简单，只需在终端中执行以下命令即可： ```

pip install binwalk

```

2.使用：

binwalk提供了命令行和脚本两种使用方式。以下是一些常用命令示例：

- 查看文件信息：

```

binwalk -h

```

- 分析ELF文件：

```

binwalk -e input.elf

```

- 分析PE文件：

```

binwalk -e input.pe

```

- 分析Mach-O文件：

```

binwalk -e input.Mach-O

```

- 提取文件资源： ```

binwalk -X input.elf

```

三、主要功能与特点

1.多种文件支持：binwalk支持ELF、PE、Mach-O等多种二进制文件格式。

2.深度分析：binwalk可以分析文件的 sections、symbols、relocations等信息。

3.资源提取：binwalk可以提取文件中的资源，如字符串、图像等。

4.脚本支持：binwalk提供脚本接口，用户可以自定义分析过程和输出。

5.开源免费：binwalk是一款开源工具，可免费使用。

四、适用场景

PE文件结构

PE文件结构

检验PE文件的有效性

<1>首先检验文件头部第一个字的值是否等于IMAGE_DOS_SIGNATURE,是则表示DOS MZ

header有效

<2>一旦证明文件的Dos header 有效后,就可用e_lfanew来定位PE header

<3>比较PE header 的第一个字的值是否等于IMAGE_NT_HEADER,如果前后两个值都匹配.

PS.WinHex使用方法

1.Alt+G跳到指定位置

2.Ctrl+Shift+N放入新文件

3.大文件扩容,新建一个扩容大小+1的文件,把这个文件的数据复制后写入整个文件的尾地址.

4.文本搜索 ctrl+F

5.十六进制搜索 ctrl+alt+x

6.文本显示 F7

7.打开内存 alt+F9

8.进制转换器 F8

9.分析选块 F2

10.计算HASH ctrl+F2

11.收集文本信息 ctrl+F10

12.编辑模式 F6

一.IMAGE_DOS_HEADER

<1>位置 00H,WORD(2个字节)的e_magic为4D5A,即MZ

<2>位置 3CH,60,LONG(4个节节)的e_lfanew为64+112=176即B0H,

二.IMAGE_NT_HEADERS

<1>位置B0H,DWORD(4个字节),PE开始标记,写入50450000,即PE

<2>位置 B4H,WORD,PE所要求的CPU,对于Intel平台,为4C01

<2>位置 B6,WORD,PE中段总数,计划有3个段,.text代码段,.rdata只读数据段,.data全局变量数据段,所以值为0300,

<3>位置 C4,WORD,表示后面的PE文件可选头的占空间大小,即224字节(E0),值为E000

<4>位置 C6,WORD,表示文件是EXE还是DLL,如果是可执行文件写0200,如果是dll,写0020,

<5>位置 C8,WORD,表示文件格式,如果是0B01表示.exe,如果是0701表示ROM映像 <6>位置 D8,DWORD,表示代码入口的RVA地址,要代码写好后才能确定,这里先用AAAAAAAA代替,后修改为00100000,