PE File Format (~ RVA to RAW)

*PE 파일은 Windows 운영체제에서 사용되는 실행 파일 형식이다.
- PE 파일은 32비트 형태의 실행 파일을 의미하며 PE32라는 용어를 사용하기도 한다.
-> 64비트 형태의 실행파일은 PE+ 또는 PE32+라고 부르며, PE파일의 확장 형태이다,
// PE64 아님!

1. PE File Format

(1) PE 파일의 종류

종류	주요 확장자
실행 계열	EXE, SCR
라이브러리 계열	DLL, OCX, CPL, DRV
드라이버 계열	SYS, VXD
오브젝트 파일 계열	OBJ

 

- 엄밀히 이야기하면, OBJ 파일을 제외한 모든 것은 실행 가능한 파일이다.

-> DLL, SYS 파일 등은 셸(Explorer.exe)에서 직접 실행X But, 다른 형태의 방법(디버거, 서비스, 기타)를 이용하여 실행이 가능한 파일임

 

notepad.exe -> HxD

- 해당 부분은 notepad.exe의 시작 부분이다.

- PE 파일의 헤더 (PE header) 부분

- > 바로 이 헤더에 파일이 실행되기 위해 필요한 모든 정보가 적혀있다.

• 어떻게 메모리에 적재되는지
• 어디서부터 실행되어야 하는지
• 실행에 필요한 DLL이 어떤 것이 있는지
• 필요한 stack/heap 메모리의 크기를 얼마로 할지 등,,

즉, PE File Format을 공부한다는 것은 PE 헤더의 구조체를 공부하는 것이라고 할 수 있다.

---

2. 기본 구조 

- notepad.exe는 일반적인 PE 파일의 기본 구조(Basic Structure)를 가지고 있다.

- 아래 그림은 notepad.exe 파일이 메모리에 적재(loading 또는 mapping)될 때의 모습을 나타낸 것이다.

• PE 헤더:  DOS header ~ Section header 부분
• PE 바디 : 그 밑의 Section
• 파일에서는 offset(상대적인 거리)으로, 메모리에서는 VA(Virtual Address, 절대주소)로 위치를 표현한다. 
• 파일이 메모리에 로딩되면 모양이 달라진다 (Section의 크기, 위치 등)
• 파일의 내용은 보통 코드(.text), 데이터(.data), 리소스(.rsc)섹션에 나뉘어 저장된다. 

*개발도구(VB/VC++/Delphi/..)와 빌드옵션에 따라 섹션의 이름, 크기, 개수, 저장 내용이 달라진다. 

 

출처: https://rednooby.tistory.com/33

 

• 섹션 헤더에 각 Section에 대한 파일/ 메모리에서의 크기, 위치, 속성 등이 정의되어 있다.
• PE 헤더의 끝부분과 각 섹션의 끝에는 NULL(=padding)이 존재한다. (NULL Padding)
  • 컴퓨터에서 파일, 메모리, 네트워크 패킷 등을 처리할 때 효율을 높이기 위해 최소 기본 단위 개념을 사용하는데, PE 파일에도 같은 개념이 적용된 것이다.
  • 그림을 보면 각 섹션의 시작 주소가 어떤 규칙에 의해 딱딱 끊어지는 것을 확인할 수 있다.

 

 

=> 파일/메모리에서 섹션의 시작 위치는 각 파일/메모리의 최소 기본 단위의 배수에 해당하는 위치여야 하고, 빈 공간은 NULL로 채워버린다. 

 

출처: https://rednooby.tistory.com/33

 

 

 

---

3. VA & RVA

• VA(Virtual Address)는 프로세스 가상 메모리의 절대 주소를 말한다.
• RVA(Relative Virtual Address)는 어느 기준 위치(ImageBase)에서부터의 상대주소를 말한다.
• VA와 RVA의 관계
  • RVA + ImageBase = VA
• PE 헤더 내의 정보는 RVA 형태로 된 것이 많다. 
  • PE파일(주로 DLL)이 프로세스 가상 메모리의 특정 위치에 로딩되는 순간 이미 그 위치에 다른 PE 파일(DLL)이 로딩되어 있을 수 있는데, 그 때 재배치(Relocation) 과정을 통해 비어있는 다른 위치에 로딩되어야 한다. 하지만 만약, PE 헤더 정보들이 VA(절대주소)로 되어있다면 정상적인 엑세스가 이루어지지 않을 것이다.
  • 그러므로, 정보를 RVA로 해두면 Reloacation이 발생해도 기준 위치(ImageBase)에 대한 상대주소가 변하지 않기 때문에 문제없이 원하는 정보에 엑세스할 수 있다.

 

ex. game.dll가 00000000이라는 위치에 로딩되는순간 notepad.dll이 먼저 로딩이 되어버렸을 경우) 

• 하나의 위치에 2개의 dll파일이 올라갈 수 없기 때문에 이때 재배치(Relocation)을 해줘야 하는 상황 발생
• 이때 PE헤더 정보들이 VA(절대주소)로 되어있다면 정상적인 엑세스가 이루어 지지 않음
• 따라서, RVA(상대주소)로 해서 재배치가 발생해도 기준에 대한 상대주소는 변하지 않기 때문에 문제없이 원하는 정보에 엑세스 할 수 있게 됩니다.

출처: https://rednooby.tistory.com/33 

---

4. PE 헤더

- PE 헤더는 많은 구조체로 이루어져 있다. 

 

(1) DOS Header

• microsoft는 PE파일 포맷을 만들때 DOS파일에 대한 하위 호환성을 고려해서 만들었다.
• 그 결과로 PE헤더 제일 앞부분에는 기존 DOS EXE Header를 확장시킨 IMAGE_DOS_HEADER구조체가 존재
  • 즉 IMAGE_DOS_HEADER는 DOS EXE Header를 확장시킨것
• IMAGE_DOS_HEADER 구조체의 크기 = 40

typedef struct _IMAGE_DOS_HEADER {
    WORD   e_magic;          // DOS signature : 4D5A ("MZ")    
    WORD   e_cblp;                        
    WORD   e_cp;                          
    WORD   e_crlc;                        
    WORD   e_cparhdr;                     
    WORD   e_minalloc;                    
    WORD   e_maxalloc;                    
    WORD   e_ss;                          
    WORD   e_sp;                          
    WORD   e_csum;                        
    WORD   e_ip;                          
    WORD   e_cs;                          
    WORD   e_lfarlc;                      
    WORD   e_ovno;                       
    WORD   e_res[4];                      
    WORD   e_oemid;                       
    WORD   e_oeminfo;                     
    WORD   e_res2[10];                     
    LONG   e_lfanew;         // offset to NT header   
    } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

 

- 중요한 멤버 

• e_magic
  • DOS signature (4D5A => 아스키값:"MZ") 
• e_Ifanew
  • NT header의 offset을 표시 (파일에 따라 가변적인 값을 가짐)
  • 즉, NT header의 시작위치를 저장함

 

 

• 모든 PE파일은 시작부분(e_magic)의 DOS signature(MZ)가 존재하고 e_lfanew값이 가리키는 위치에 NT header 구조체가 존재해야 한다.
• PE 스펙에 맞게 파일 시작 2바이트는 5A4D이며, e_Ifanew 값은 000000E0 이다.
  • 즉, 리틀엔디안을 고려하여 주소는 E0000000가 아닌 000000E0이다.

만약 해당 값들을 변경한 후 저장해서 실행할 경우, 정상 실행되지 않을 것이다. PE 스펙에 따라서 더 이상 PE 파일이 아니기 때문이다.

 

(2) DOS Stub

• DOS Header 밑에는 DOS Stub이 존재한다. 
• DOS Stub의 존재 여부는 옵션이며, 크기도 일정하지 않다. (없어도 실행에 문제X)
• DOS Stub은 코드와 데이터의 혼합으로 이루어져 있다.

 

• 해당 부분은 16비트 어셈블리 명령어이므로 32비트 Windows OS에서는 실행할 수 없다.  
  • PE 파일로 인식하기 때문에 아예 해당 부분의 코드를 무시
• 해당 exe 파일을 DOS 환경에서 실행하거나, DOS용 디버거(debug.exe)를 이용해서 실행하면 해당 코드를 실행할 수 있다. 
  • DOS EXE 파일로 인식하기 때문 (왜냐하면 해당 파일이 PE File Format을 따르고 있는 것을 모름)
• 따라서, 실행을 위해 Windows XP 환경에서 "debug C:\Windows\notepad.exe" 입력 후 커서 'u' 명령어 입력 
  • 화면에 문자열 "This program cannot be run in DOS mode"을 출력하고 종료
  • 이러한 특성을 잘 활용하면 DOS 환경과 Windows환경 모두에서 실행 가능한 하나의 실행 파일(exe)를 만들 수 있다.

 

(3) NT Header 

typedef struct _IMAGE_NT_HEADERS {   
    DWORD Signature;                  // PE Signature : 50450000 ("PE"00)  
    IMAGE_FILE_HEADER FileHeader;   
    IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

• IMAGE_NT_HEADERS 구조체의 멤버
  • Signature -> 50450000 ("PE"00)
  • FileHeader
  • Optinal Header

- File Header

IMAGE_FILE_HEADERS 구조체 (파일의 개략적인 속성을 나타냄)

typedef struct _IMAGE_FILE_HEADER {    
    WORD    Machine;    
    WORD    NumberOfSections;    
    DWORD   TimeDateStamp;    
    DWORD   PointerToSymbolTable;    
    DWORD   NumberOfSymbols;    
    WORD    SizeOfOptionalHeader;    
    WORD    Characteristics;
} IMAGE_FILE_HEADER, *PIMAGE_FILE_HEADER;

 

 IMAGE_FILE_HEADERS 구조체의 중요한 멤버 

• Machine 
  • 실행 파일이 동작하는 머신의 아키텍처
  • Machine 넘버는 CPU 별로 고유한 값이며, 32비트 Intel x86 호환 칩은 14C의 값을 가진다.
    • IA-32호환CPU = 14Ch
    • IA-64호환CPU = 200h
• NumberOfSections
  • 섹션의 개수를 나타낸다.
    • PE 파일은 코드, 데이터, 리소스 등이 각각의 섹션에 나뉘어 저장됨. 이 섹션의 개수를 의미함 
  • 이 값은 반드시 0보다 커야 한다
  • 정의된 섹션 개수와 실제 섹션이 다르면 실행 에러가 발생한다. 
• SizeOfOptionalHeader
  • IMAGE_OPTIONAL_HEADER32 구조체의 크기를 나타낸다
  • IMAGE_OPTIONAL_HEADER32 구조체는 C언어의 구조체이기 때문에 그 크기가 이미 결정되어 있다. 하지만, PE 로더는 IMAGE_FILE_HEADER의 SizeOfOptionalHeader 값을 보고 그 크기를 인식한다.
    • PE32+ 의 경우, IMAGE_OPTIONAL_HEADER64 구조체 사용 
    • 따라서, 두 구조체의 크기가 다르기 때문에 SizeOfOptionalHeader 멤버에 구조체 크기를 명시하는 것이다.

IMAGE_DOS_HEADER의 e_Ifanew 멤버와 IMAGE_FILE_HEADER의 SizeOfOptionalHeader 멤버 때문에 일반적인 PE 파일 형식을 벗어나는 일명 '꽈배기' PE 파일 (PE Patch)를 만들 수 있다.

 

• Characteristics
  • 파일의 속성을 나타내는 값
  • 실행이 가능한 형태인지 (executable or not) 혹은 DLL 파일인지 등의 정보들이 bit OR 형식으로 조합된다.
• TimeDateStamp
  • 파일의 빌드 시간 
  • 파일의 실행에 영향을 미치지 않는 값

- Optional Header

- PE 헤더의 구조체중 가장 크기가 큰 IMAGE_OPTIONAL_HEADER32 구조체다.

typedef struct _IMAGE_DATA_DIRECTORY {    
    DWORD   VirtualAddress;    
    DWORD   Size;
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY; 

#define IMAGE_NUMBEROF_DIRECTORY_ENTRIES    16 

typedef struct _IMAGE_OPTIONAL_HEADER {    
    WORD    Magic;    
    BYTE    MajorLinkerVersion;    
    BYTE    MinorLinkerVersion;   
    DWORD   SizeOfCode;  
    DWORD   SizeOfInitializedData;  
    DWORD   SizeOfUninitializedData;   
    DWORD   AddressOfEntryPoint;    
    DWORD   BaseOfCode;  
    DWORD   BaseOfData;   
    DWORD   ImageBase;    
    DWORD   SectionAlignment;    
    DWORD   FileAlignment;    
    WORD    MajorOperatingSystemVersion;   
    WORD    MinorOperatingSystemVersion;   
    WORD    MajorImageVersion;   
    WORD    MinorImageVersion; 
    WORD    MajorSubsystemVersion;  
    WORD    MinorSubsystemVersion; 
    DWORD   Win32VersionValue;    
    DWORD   SizeOfImage;    
    DWORD   SizeOfHeaders;  
    DWORD   CheckSum;    
    WORD    Subsystem;   
    WORD    DllCharacteristics;   
    DWORD   SizeOfStackReserve;   
    DWORD   SizeOfStackCommit;  
    DWORD   SizeOfHeapReserve;    
    DWORD   SizeOfHeapCommit;    
    DWORD   LoaderFlags;  
    DWORD   NumberOfRvaAndSizes;   
    IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];
} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

 

IMAGE_OPTIONAL_HEADER32 구조체에서 중요한 멤버 (필수적이고, 잘못 세팅되면 파일 실행 불가)

• Magic
  • IMAGE_OPTIONAL_HEADER32 구조체인 경우, 10B
  • IMAGE_OPTIONAL_ HEADER64 구조체인 경우,  20B
• AddressOfEntryPoint
  • EP(EntryPoint)의 RVA 값을 가지고 있다.
  • 최초로 실행되는 코드의 시작 주소로, 매우 중요한 값이다. 
• SizeOfCode : 코드 영역 크기 
• BaseOfCode: 코드 영역이 Image Base + Base Of Code 부터 시작 
• ImageBase
  • PE파일이 로딩되는 시작주소를 가리킨다 
  • EXE, DLL과 같은 파일은 보통 00000000~7FFFFFFF 사이에 로딩된다.
  • SYS파일은 80000000~FFFFFFFF(커널 메모리) 영역에 로딩된다.
  • 일반적인 VC++/VB등의 도구로 만들어진 EXE 파일의 ImageBase값은 10000000을 가진다. (당연히 다른 값 지정 가능)
  • 로더가 PE파일을 실행할 때 파일을 메모리에 로딩한후 EIP 레지스터를 ImageBase + AddressOfEntryPoint 값으로 세팅한다.
• SectionAlignment, FileAlignment
  • PE 파일의 body 부분은 섹션으로 나뉘어져 있는데, 이때 
    • 파일에서 섹션의 최소 단위  - FileAlignment
    • 메모리에서 섹션의 최소 단위 - SectionAlignment
      
    • 두 값은 같을 수도 있고, 다를 수도 있다.
    • 파일/메모리의 섹션 크기는 반드시 각각 FileAlignment/SectionAlignment의 배수가 되어야 한다. 
• SizeofImage
  • PE파일이 메모리에 로딩되었을 때 가상 메모리에서 PE Image가 차지하는 크기를 나타낸다.
  • 일반적으로 파일의 크기와 메모리에 로딩된 크기는 다르다, 
  • 각 섹션 별 로딩 위치와 크기는 섹션 헤더에 정의되어 있음
• SizeOfHeader
  • PE헤더의 전체 크기를 나타낸다.
  • FileAlignment의 배수여야 한다.
  • PE 헤더 다음에 섹션이 위치하므로 파일의 시작 주소(offset)에서 SizeOfHeader값 만큼 차이나는 위치에 첫 번째 섹션이 위치한다는 얘기다.
• Subsystem
  • 이 Subsystem 값을 통해 이 파일이 시스템 드라이버 파일(*.sys)인지, 아니면 그냥 실행 파일(*.exe, *.dll)인지 구분할 수 있다.

값	의미	비고
1	Driver file	시스템 드라이버 (ex. ntfs.sys)
2	GUI (Graphic User Interface) 파일	창 기반 애플리케이션 (ex. notepad.exe)
3	CUI (Console User Interface) 파일	콘솔 기반 애플리케이션 (ex. cmd.exe)

• NumberofRvaAndSizes
  • IMAGE_OPTIONAL_HEADER 구조체의 마지막 멤버는 DataDirectory 배열의 개수를 나타낸다.
  • 구조체 정의에 배열의 개수가 16이라고 명시되어 있지만, PE 로더는 NumberofRvaAndSizes 값을 보고 배열의 크기를 인식한다. 
    • 따라서, 16이 아닐수도 있음  
• DataDiretory
  • IMAGE_DATA_DIRECTORY 구조체의 배열

(4) IMAGE_OPTIONAL_HEADER 전체

https://m.blog.naver.com/PostView.naver?isHttpsRedirect=true&blogId=sol9501&logNo=70101390393 참고 

 

(4) 섹션 헤더

• 각 섹션의 속성(Property)을 정의한 것 
• 프로그램의 안정성
• PE 파일은 Code, Data, Resource 등을 섹션별로 구분해서 저장한다.
  • 섹션별로 구분 -> 안정성 향상
• 섹션마다 그 용도와 크기가 다르기에 속성들이 접근 권한, 특성 등을 다르게 설정하기 위해 Section Header가 존재한다.
  • file/memory에서의 시작 위치, 크기, 엑세스 권한 등 

종류	엑세스 권한
code	실행, 읽기 권한
data	비실행, 읽기, 쓰기 권한
resource	비실행, 읽기 권한

 

 

IMAGE_SECTION_HEADER

섹션명	용도
.text	실행 코드
.data	초기화된 전역 변수, static 변수
.rdata	Const 변수, 문자열 상수
.bss	초기화 변수, static 변수, 무지역, 기타 상수
.edata	EAT와 관련된 정보
.idata	IAT와 관련된 정보
.rsrc	리소스 정보

#defome IMAGE_SECTION_HEADER 8

typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize;
  } Misc;
  DWORD VirtualAddress;
  DWORD SizeOfRawData;
  DWORD PointerToRawData;
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

 

- IMAGE_SECTION_HEADER 구조체의 중요 멤버

항목	의미
VirtualSize	메모리에서 섹션이 차지하는 크기
VirtualAddress	메모리에서 섹션의 시작 주소 (RVA)
SizeOfRawData	파일에서 섹션이 차지하는 크기
PointerToRawData	파일에서 섹션이 시작위치
Characteristics	섹션이 속성(bit OR)

 

• VirtualAddress와 PointerToRawData는 아무값이나 가질 수 없고, 각각 SectionAlignment와 FileAlingment에 맞게 결정됨
• VirtualSize와 SizeofRawData는 일반적으로 서로 다른 값을 가진다.
  • 즉, 파일에서의 섹션 크기와 메모리에 로딩된 섹션의 크기는 다름 
• Name 항목
  • Name 항목은 C언어의 문자열처럼 NULL로 끝나지 않는다,
  • 또한 아스키 값만 와야한다는 제한도 없다.
  • PE 스펙에는 섹션 Name에 대한 어더한 명시적인 규칙이 없기 때문에 어떻나 값을 넣어도 되고, 심지어 NULL을 채워도 된다.
  • 따라서, 섹션의 Name은 그냥 참고용일 뿐, 어떤 정보로써 활용하기에는 100% 장담할 수 없다. 

 

---

5. RVA to RAW

- PE 파일이 메모리에 로딩되었을 때, 각 섹션에서 메모리의 주소(RVA)와 파일 offset을 잘 매핑할 수 있어야 함

=> 'RVA to RAW'

1. RVA가 속해있는 섹션을 찾는다
2. 간단한 비례식을 사용해서 파일 offset(RAW)을 계산한다.

**비례식**
RAW - PointerToRawData = RVA - VirtualAddress