张家港网站制作公司,为什么需要网站开发,个人主页设计规划文案,网站建设与维护典型案例文章目录 前言一、什么是Windows PE格式节表#xff1f;二、解析节表并显示1.节表数据结构以及字段描述2.节表的属性3.解析4.显示 前言
通过分析和解析Windows PE格式#xff0c;并使用qt进行图形化显示 一、什么是Windows PE格式节表#xff1f;
PE格式的节表#xff08… 文章目录 前言一、什么是Windows PE格式节表二、解析节表并显示1.节表数据结构以及字段描述2.节表的属性3.解析4.显示 前言
通过分析和解析Windows PE格式并使用qt进行图形化显示 一、什么是Windows PE格式节表
PE格式的节表Section Table是一个数组它包含了PE文件中各个节Section的信息。每个节表项都是一个IMAGE_SECTION_HEADER结构体它包含了关于节的名称、大小、属性等信息。
二、解析节表并显示
1.节表数据结构以及字段描述 Name节的名称最多8个字符以空字符填充。 VirtualSize节在内存中的大小以字节为单位。 VirtualAddress节在内存中的起始RVA相对虚拟地址。 SizeOfRawData节在文件中的大小以字节为单位。 PointerToRawData节在文件中的起始偏移量以字节为单位。 PointerToRelocations节的重定位表在文件中的起始偏移量以字节为单位。 PointerToLinenumbers节的行号表在文件中的起始偏移量以字节为单位。 NumberOfRelocations节的重定位表中的项数。 NumberOfLinenumbers节的行号表中的项数。 Characteristics节的属性如可读、可写、可执行等。 struct IMAGE_SECTION_HEADER
{BYTE Name[IMAGE_SIZEOF_SHORT_NAME];union {DWORD PhysicalAddress;DWORD VirtualSize;} Misc;DWORD VirtualAddress;DWORD SizeOfRawData;DWORD PointerToRawData;DWORD PointerToRelocations;DWORD PointerToLinenumbers;WORD NumberOfRelocations;WORD NumberOfLinenumbers;DWORD Characteristics;
};2.节表的属性 PE格式的节表中的每个节都有一个属性字段Characteristics它是一个位掩码用于指定节的各种属性。以下是一些常见的节属性及其具体值 IMAGE_SCN_CNT_CODE表示节包含可执行代码。具体值为0x00000020。 IMAGE_SCN_CNT_INITIALIZED_DATA表示节包含初始化的数据。具体值为0x00000040。 IMAGE_SCN_CNT_UNINITIALIZED_DATA表示节包含未初始化的数据。具体值为0x00000080。 IMAGE_SCN_MEM_EXECUTE表示节可以执行。具体值为0x20000000。 IMAGE_SCN_MEM_READ表示节可以读取。具体值为0x40000000。 IMAGE_SCN_MEM_WRITE表示节可以写入。具体值为0x80000000。 IMAGE_SCN_MEM_SHARED表示节可以在多个进程之间共享。具体值为0x10000000。 IMAGE_SCN_MEM_DISCARDABLE表示节可以被丢弃以释放内存。具体值为0x02000000。 IMAGE_SCN_MEM_NOT_CACHED表示节不应被缓存。具体值为0x04000000。 IMAGE_SCN_MEM_NOT_PAGED表示节不应被分页。具体值为0x08000000。 这些属性可以组合使用以指定节的具体属性。例如如果一个节同时包含可执行代码和可读数据那么它的属性字段将包含IMAGE_SCN_CNT_CODE和IMAGE_SCN_MEM_READ标志。在处理PE文件时可以通过检查节的属性字段来确定节的具体用途和行为。 3.解析
bool PEParser::parserFileData(const QByteArray fileData)
{//判断是否是MZ开头的文件if (fileData.left(2) ! MZ){return false;}//解析DOS头parserDOSHeader(fileData.left(sizeof(IMAGE_DOS_HEADER)));//DOSStub数据m_dosStubData fileData.mid(sizeof(IMAGE_DOS_HEADER), m_dosHeader.e_lfanew - sizeof(IMAGE_DOS_HEADER));long peAddress m_dosHeader.e_lfanew;if (fileData.mid(peAddress, 2) ! PE){return false;}m_fileData fileData;//去除前4个字节的PE头标识long fileHeaderIndex peAddress 4;//记录文件头索引m_fileHeaderIndex fileHeaderIndex;//解析标准PE文件头paserFileHeader(fileData.mid(fileHeaderIndex, sizeof(IMAGE_FILE_HEADER)));//解析扩展PE文件头long optionHeaderIndex fileHeaderIndex sizeof(IMAGE_FILE_HEADER);//记录扩展PE文件头索引m_optionHeaderIndex optionHeaderIndex;//解析扩展PE文件头parserOptionHeader(fileData.mid(optionHeaderIndex, m_fileHeader.SizeOfOptionalHeader));//解析节表long sectionHeaderIndex optionHeaderIndex m_fileHeader.SizeOfOptionalHeader;//节表结构在文件中开始的偏移m_sectionHeaderIndex sectionHeaderIndex;//解析节表parserSectionHeader(fileData.mid(sectionHeaderIndex,m_fileHeader.NumberOfSections * sizeof(IMAGE_SECTION_HEADER)));return true;
}void PEParser::parserSectionHeader(const QByteArray sectionHeader)
{m_sections.clear();for (int i 0; i m_fileHeader.NumberOfSections; i){int index i * sizeof(IMAGE_SECTION_HEADER);QByteArray sectionData sectionHeader.mid(index, sizeof(IMAGE_SECTION_HEADER));const IMAGE_SECTION_HEADER *header reinterpret_castconst IMAGE_SECTION_HEADER *(sectionData.data());m_sections.append(*header);}emit sendSectionHeader(m_sections);
}4.显示
void MainWindow::showSectionHeader(const QListIMAGE_SECTION_HEADER sections)
{ui-tableWidget_sections-clearContents();ui-tableWidget_dataDirectories-setRowCount(0);for (int i 0; i sections.size(); i){ui-tableWidget_sections-insertRow(i);ui-tableWidget_sections-setItem(i, 0, new QTableWidgetItem(QString::asprintf(%s, sections[i].Name)));ui-tableWidget_sections-setItem(i, 1, new QTableWidgetItem(QString::asprintf(%08lX, sections[i].VirtualAddress)));ui-tableWidget_sections-setItem(i, 2, new QTableWidgetItem(QString::asprintf(%08lX, sections[i].Misc.VirtualSize)));ui-tableWidget_sections-setItem(i, 3, new QTableWidgetItem(QString::asprintf(%08lX, sections[i].PointerToRawData)));ui-tableWidget_sections-setItem(i, 4, new QTableWidgetItem(QString::asprintf(%08lX, sections[i].SizeOfRawData)));ui-tableWidget_sections-setItem(i, 5, new QTableWidgetItem(QString::asprintf(%08lX, sections[i].Characteristics)));}
}
