pe파일의 구조

소개글

pe파일은 윈도우즈 실행파일의 기본입니다. 악성코드 분석 혹은 리버싱 혹은 보안 혹은 고급프로그래밍을 위하여 필수적으로 알아야 할 사항입니다.

목차

*pe파일이란
*디버그툴
*pe파일의 분석 시작
*dos header
*dos stub code
*pe헤더
*pe optional 헤더
*section table
*padding
*import directory

본문내용

*pe파일이란

소스코드
↓
(컴파일러)
↓
오브젝트파일
↓
(링커)
↓
실행파일
↓
(로더)....운영체제에 포함
↓
실행

실행파일(exe파일)이 pe파일(portable executable)이다.

디버거를 이용하여 분석한다.


*디버그툴

커널디버그 툴 : windbg, softice(제작중단됨)
유저모드디버그 툴 : ollydbg,

windbg에서
open - createprocess()를 사용하여 실행파일 염
attach - 실행중인 프로세스 분석

windbg에서 명령창에서
x ntdll!ldr* 입력하면
ntdll!ldr로 시작하는 모든 api를 볼수 있다.
[windbg 그림 삽입]


*pe파일의 분석 시작
도구- hexworkshop, winhex

*pe파일의 큰 구조
dos header
dos stub code
pe header(file header + optional header)
section table
section1
~
section n

*dos header
도스파일임을 나타내는 mz로 시작
pe의 시작위치값이 들어 있음, 나머지 값은 무시해 버리셈
64바이트이고 마지막 4바이트가 pe파일 시작 위치


*dos stub code
this program must be run under microsoft windows라는 문자열이 들어가 있다.

참고 자료

microsoft white paper