PE文件学习系列笔记四-C++实现PE文件的分析

OStack程序员社区-中国程序员成长平台 › 门户 › 编程› C++›C++教程

原作者: [db:作者] 来自: [db:来源] 收藏邀请

合肥程序员群：49313181。合肥实名程序员群：128131462 (不愿透露姓名和信息者勿加入)
Q Q:408365330 E-Mail:[email protected]

综述：

首先说明我也只是PE文件的初学者，我所写的都是自己的学习记录。前3节学习了PE的一些结构，其中包括DOS头和PE头部分。总是这样去学习这些机构和理论的分析我想大家和我一样毫无兴趣，提不起精神。所以我尝试着在自己对PE了解的基础上用C++写一个小程序分析PE结构文件。我所接触的教程都是Win32汇编去实现一些小工具对PE文件进行分析。我只是能看懂汇编，让我去写那没什么劲，所以我还是用C++去实现。我只是对C比较了解，至于面向对象的知识是在学习C#时候接触的。所以这里的案例的C++代码很大的可能还是继承了C的风格。为什么是C++，主要是MFC写界面比Windows API写界面方便多了。当然如果大家有兴趣，可以留言我写一个C#版本的。当然这一节也不可能实现所有的功能，暂时展示一些小功能。废话不多说了，上代码：

C++代码实现：

首先实现这些如图程序的功能，其中包括识别是否是PE文件，其次是给出，PE文件在磁盘中的对齐尺寸和内存中的对齐尺寸，另一个就是实现知道程序的装载入口地址，都是以16进制的方式表现出来的。

//选择文件按钮
void CPEinfoDlg::OnBnClickedBtnSelectfile()
{
    CFileDialog dilog(TRUE);
    dilog.m_ofn.lpstrTitle=_T("请选择PE文件");
    if(IDOK==dilog.DoModal()){
        CString fileName= dilog.GetFileName();
        CString filePath= dilog.GetPathName();
        //给路径文本框赋值
        this->GetDlgItem(IDC_EDIT1)->SetWindowTextW(filePath);


        HANDLE fileHandle= CreateFile(filePath,GENERIC_READ,FILE_SHARE_READ,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
        if(INVALID_HANDLE_VALUE!=fileHandle){
            HANDLE mapHandle=    CreateFileMapping(fileHandle,NULL,PAGE_READONLY,0,0,NULL);
            if(mapHandle==NULL){
                AfxMessageBox(L"打开文件映射对象失败！");
            }
            else
            {
                strContet= MapViewOfFile(mapHandle,FILE_MAP_READ,0,0,0);
                LPBYTE lpBaseAddress = (LPBYTE)strContet;

                PIMAGE_DOS_HEADER dosHead=(PIMAGE_DOS_HEADER)lpBaseAddress;

                PIMAGE_NT_HEADERS ntHead=(PIMAGE_NT_HEADERS)(lpBaseAddress+dosHead->e_lfanew);
                
                //根据DOS头和PE头判断是否是PE文件
                if(dosHead->e_magic==IMAGE_DOS_SIGNATURE&&ntHead->Signature==IMAGE_NT_SIGNATURE){
                    //AfxMessageBox(L"说明是正常的PE！");
                    CString show=L"0x";
                    wchar_t r[10]=L"";
                    int h=ntHead->OptionalHeader.FileAlignment;
                    _itow_s(h,r,16);
                    show+=r;
                    this->GetDlgItem(IDC_STATIC_FileA)->SetWindowTextW(show);
                    
                    //内存对齐尺寸

                    int ss= ntHead->OptionalHeader.SectionAlignment;
                    _itow_s(ss,r,16);
                    show=L"0x";
                    show+=r;
                    this->GetDlgItem(IDC_STATIC_SESSIONSIZE)->SetWindowTextW(show);

                    //入口地址
                    int ept= ntHead->OptionalHeader.AddressOfEntryPoint;

                    _itow_s(ept,r,16);
                    show=L"0x";
                    show+=r;
                    this->GetDlgItem(IDC_STATIC_BaseEntry)->SetWindowTextW(show);


                }
                else
                {
                    AfxMessageBox(L"请打开PE格式文件！");
                }

                //撤销映射
                UnmapViewOfFile(strContet);
                //关闭文件映射对象句柄
                CloseHandle(mapHandle);
            }
            //关闭文件对象
            CloseHandle(fileHandle);
        }
        else
        {
            AfxMessageBox(L"打开文件句柄失败！");
        }

    }
    delete dilog;
    // TODO: 在此添加控件通知处理程序代码
}

我就主要上主要代码，当然在这里我们最起码得知道MFC框架的简单开发。

这些小功能的原理就是读文件，不过我这里用的读文件的方式是文件映射的方式，直接将文件映射到内存中。

1.首先是打开文件，返回一个文件内核对象（什么是内核对象？这个我就不多做解释了，要想了解请参照《Windows 核心编程》。这绝对是Windows开发的一本葵花宝典），

HANDLE fileHandle= CreateFile(filePath,GENERIC_READ,FILE_SHARE_READ,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);

2.然后创建一个文件映射对象

HANDLE mapHandle=    CreateFileMapping(fileHandle,NULL,PAGE_READONLY,0,0,NULL);

当然是以读方式打开。

3.然后就是文件内存视图映射

strContet= MapViewOfFile(mapHandle,FILE_MAP_READ,0,0,0);

其中strContet是LPVOID类型，这个指针就指向了PE文件被映射到内存中的起始地址

4.找DOS头和PE头

PIMAGE_DOS_HEADER dosHead=(PIMAGE_DOS_HEADER)lpBaseAddress;

PIMAGE_NT_HEADERS ntHead=(PIMAGE_NT_HEADERS)(lpBaseAddress+dosHead->e_lfanew);

PIMAGE_DOS_HEADER 和PIMAGE_NT_HEADERS结构体就是广义上的DOS头和PE头结构。这两个结构体在WinNT.h头文件中能找到。

5.判断是否是PE文件

if(dosHead->e_magic==IMAGE_DOS_SIGNATURE&&ntHead->Signature==IMAGE_NT_SIGNATURE)

就和我们在前面所说的dosHead->e_magic是DOS头的标志，里面是MZ所以DOS头又称作MZ头，ntHead->Signature就是PE头的标志，内容是ASIIC码PE00。我用UE打开：

在WinNT.h头文件中被定义为IMAGE_DOS_SIGNATURE和IMAGE_NT_SIGNATURE，顾名思义，DOS头标志和PE头标志。这样即使你随便将一个文件修改成.exe后缀或者.dll后缀的PE格式文件依然不通过验证。

通过这个动态图片我们很容易看到我想打开一个.txt文本这是不行的。我现在去把他改成exe再打开：

可以看见修改txt后缀为.exe是不行的。

6.显示内存对齐尺寸程序入口地址等信息

int h=ntHead->OptionalHeader.FileAlignment;
                    _itow_s(h,r,16);
                    show+=r;
                    this->GetDlgItem(IDC_STATIC_FileA)->SetWindowTextW(show);
                    
                    //内存对齐尺寸

                    int ss= ntHead->OptionalHeader.SectionAlignment;
                    _itow_s(ss,r,16);
                    show=L"0x";
                    show+=r;
                    this->GetDlgItem(IDC_STATIC_SESSIONSIZE)->SetWindowTextW(show);

                    //入口地址
                    int ept= ntHead->OptionalHeader.AddressOfEntryPoint;

                    _itow_s(ept,r,16);
                    show=L"0x";
                    show+=r;
                    this->GetDlgItem(IDC_STATIC_BaseEntry)->SetWindowTextW(show);

其中没什么复杂度，只是将结构成员数据处理显示出来。这里也验证了。一般PE文件在磁盘中的对齐粒度是200H在内存中的对齐粒度是1000H也就是4K，一分页大小。

这一节就记到这里，后续的功能等我们学习到的时候再去添加。

版权：归博客园和Egojit所有，转载请标明出处。

鲜花

握手

雷人

路过

鸡蛋

该文章已有0人参与评论

请发表评论

全部评论

专题导读

More+

10-27 六六分期app的软件客服如何联系？(六六分期

11-06 可心卡盟:win10系统火狐flash插件崩溃怎么

11-06 亲亲特价:怎么删除回收站图标

11-06 济南大学虚拟社区:鲁大师节能降温的具体办

11-06 xlueops.exe:无线网络安装向导

11-06 女斗合众国:win7系统cf与主机连接不稳定怎

11-06 0xc000022-[cf烟雾头]cf怎么调烟雾头

11-06 qizideyouhuo:应用程序无法正常启动0xc0000

11-06 ipz-185:win7系统vcf文件怎么打开

11-06 傻哥蹦迪:win10系统s4怎么打开usb调试

11-06 八神浩树gtaste:回收站清空了怎么恢复

11-06 妖尾之黑色守护:win10系统电脑没有1440x900

11-06 校园至尊魔王小说:win7系统浏览网页时字体

11-06 女斗合众国:win10系统访问共享文件夹提示请

11-06 tokyo hot n0654:恢复win7系统默认字体一招

11-06 雨酷仙境:设置win7系统转移临时文件夹腾出

11-06 阿穆纳伊之杖:win7系统开始菜单在右边还原

11-06 tunespotting:win10系统火狐flash插件总是

11-06 甘尔葛分析师：计谋网站seo关键词暴涨有什

11-06 蔡贵霖: 计谋网站seo关键词暴涨有什么秘密

11-06 博益网首页:ao3网页版进入不了解决方法

11-06 漏斗子专栏: 网站数据分析小白易懂精华篇

11-06 见证双虹怎么做:win7系统开启telnet命令的

11-06 颾狐蝶蜋:系统资源不足无法完成请求的服务

11-06 国光中学校歌:提交网站到alexa查询详细步骤

11-06 西安有情天:静态网页和动态网页的区别

11-06 红木雅尚斋:外部链接构造对网站的好处

11-06 前官礼遇：防止域名劫持–增强域安全性的10

11-06 密传二转答案: 中文分词算法有哪些

11-06 金泉家园邮编:百度快照劫持的表现及应对方

用C#制作新闻阅读器发布时间：2022-07-14

C++获取类成员函数地址发布时间：2022-07-14

剪的笔顺,诠释剪的笔画,认识剪的部首

1 六六分期app的软件客服如何联系？(六六分期

六六分期app的软件客服如何联系？不知道吗？加qq群【895510560】即可！标题：六六分期

阅读：19143|2023-10-27

2 可心卡盟:win10系统火狐flash插件崩溃怎么

今天小编告诉大家如何处理win10系统火狐flash插件总是崩溃的问题，可能很多用户都不知

阅读：9973|2022-11-06

3 亲亲特价:怎么删除回收站图标

今天小编告诉大家如何对win10系统删除桌面回收站图标进行设置，可能很多用户都不知道

阅读：8317|2022-11-06

4 济南大学虚拟社区:鲁大师节能降温的具体办

今天小编告诉大家如何对win10系统电脑设置节能降温的设置方法，想必大家都遇到过需要

阅读：8686|2022-11-06

5 xlueops.exe:无线网络安装向导

我们在使用xp系统的过程中,经常需要对xp系统无线网络安装向导设置进行设置，可能很多

阅读：8627|2022-11-06

6 女斗合众国:win7系统cf与主机连接不稳定怎

今天小编告诉大家如何处理win7系统玩cf老是与主机连接不稳定的问题，可能很多用户都不

阅读：9643|2022-11-06

7 0xc000022-[cf烟雾头]cf怎么调烟雾头

电脑对日常生活的重要性小编就不多说了，可是一旦碰到win7系统设置cf烟雾头的问题，很

阅读：8611|2022-11-06

8 qizideyouhuo:应用程序无法正常启动0xc0000

我们在日常使用电脑的时候，有的小伙伴们可能在打开应用的时候会遇见提示应用程序无法

阅读：7991|2022-11-06

9 ipz-185:win7系统vcf文件怎么打开

今天小编告诉大家如何对win7系统打开vcf文件进行设置，可能很多用户都不知道怎么对win

阅读：8642|2022-11-06

10 傻哥蹦迪:win10系统s4怎么打开usb调试

今天小编告诉大家如何对win10系统s4开启USB调试模式进行设置，可能很多用户都不知道怎

阅读：7527|2022-11-06

客服电话

电子邮件

PE文件学习系列笔记四-C++实现PE文件的分析

请发表评论

全部评论

上一篇：

下一篇：

Delphi XE2 之 FireMonkey 入门(15) - 滤镜

CVE-2020-28471

Rauks/Minecraft-RCON: Minecraft RCON Web

ZipArchive/ZipArchive: ZipArchive is a s

kentcdodds/react-testing-library-example

剪的笔顺,诠释剪的笔画,认识剪的部首

六六分期app的软件客服如何联系？(六六分期

florent37/ViewAnimator: A fluent Android

florent37/Shrine-MaterialDesign2: implem

CVE-2020-36276

SimpleSoftwareIO/simple-sms: Send and re

关于我们

产品与服务

解决方案

139-2527-9053