Por que meu arquivo PE é inválido?
https://stackoverflow.com/questions/2483320
-
21-09-2019 - |
italiano
english
français
española
中国
日本の
العربية
Deutsch
한국어
Português
RussianPergunta
Eu já fiz uma pergunta semelhante, "Requisitos de cabeçalho do PE", mas não estou realmente satisfeito com a resposta.
Estou construindo um assembler/ligante, em Java SE 1.6. Eu li sobre 5 documentações/especificações diferentes sobre o cabeçalho PE/Coft e o formato de arquivo, mas estou preso a um problema:
Meu arquivo gerado não é válido, diz o Windows: "X não é um aplicativo Win32 válido." Estou sem noção do que pode estar errado; Verifiquei duas vezes todas as entradas no cabeçalho do PE e no cabeçalho opcional de PE, e tudo parece estar certo.
Eu tenho três seções:
code(RVA0x1000, Arquivo0x400)data(RVA0x2000, Arquivo0x600)import(RVA0x3000, Arquivo0x800)
Meu valor de entrada de entrada está em 0x1000 (o começo de code) e minha base de imagem é 0x400000. O alinhamento da seção é 0x1000 e o alinhamento de arquivo é 0x200.
Veja as revisões desta pergunta para ver o arquivo inteiro.
Então: peguei um arquivo PE válido (um simples aplicativo de caixa de mensagem "Hello World") e comecei a modificá-lo, com um editor hexágono (HXD). Eu tenho muitas mensagens de erro diferentes, não O "X não é um aplicativo Win32 válido".:
Estou ciente de que meu code O conteúdo não é um código "válido", mas eu o testei: o código inválido fornece um erro de falha no aplicativo.
Se o conteúdo da seção de importação for inválido no arquivo "Hello World" PE, ele me dá o ponto de procedimento de erro "não poderá ser encontrado em [...], ou "o aplicativo falhou em iniciar porque [..] Dll é não encontrado. ", ou uma falha no aplicativo. Esses erros são todos muito úteis; Todos eles me dão alguma pista do que estava errado.
Mas meu arquivo PE, com o erro "X não é um aplicativo Win32 válido.", Me deixa louco: O que há de errado com meu arquivo PE?
Saída de dumpbin:
E:\Documenten\CP Language\compiler\Win32Builder>dumpbin /ALL test.exe
Microsoft (R) COFF/PE Dumper Version 10.00.21003.01
Copyright (C) Microsoft Corporation. All rights reserved.
Dump of file test.exe
PE signature found
File Type: EXECUTABLE IMAGE
FILE HEADER VALUES
14C machine (x86)
3 number of sections
32EB4BF5 time date stamp Sun Jan 26 13:20:05 1997
0 file pointer to symbol table
0 number of symbols
E0 size of optional header
703 characteristics
Relocations stripped
Executable
32 bit word machine
Debug information stripped
CD - run from swapfile
OPTIONAL HEADER VALUES
10B magic # (PE32)
8.00 linker version
1000 size of code
1000 size of initialized data
0 size of uninitialized data
1000 entry point (00401000)
1000 base of code
2000 base of data
400000 image base (00400000 to 0040088F)
1000 section alignment
200 file alignment
4.00 operating system version
13.37 image version
4.00 subsystem version
0 Win32 version
890 size of image
400 size of headers
0 checksum
2 subsystem (Windows GUI)
0 DLL characteristics
40000 size of stack reserve
11000 size of stack commit
100000 size of heap reserve
1000 size of heap commit
0 loader flags
10 number of directories
0 [ 0] RVA [size] of Export Directory
3000 [ 1000] RVA [size] of Import Directory
0 [ 0] RVA [size] of Resource Directory
0 [ 0] RVA [size] of Exception Directory
0 [ 0] RVA [size] of Certificates Directory
0 [ 0] RVA [size] of Base Relocation Directory
0 [ 0] RVA [size] of Debug Directory
0 [ 0] RVA [size] of Architecture Directory
0 [ 0] RVA [size] of Global Pointer Directory
0 [ 0] RVA [size] of Thread Storage Directory
0 [ 0] RVA [size] of Load Configuration Directory
0 [ 0] RVA [size] of Bound Import Directory
0 [ 0] RVA [size] of Import Address Table Directory
0 [ 0] RVA [size] of Delay Import Directory
0 [ 0] RVA [size] of COM Descriptor Directory
0 [ 0] RVA [size] of Reserved Directory
SECTION HEADER #1
.code name
1000 virtual size
1000 virtual address (00401000 to 00401FFF)
23 size of raw data
400 file pointer to raw data (00000400 to 00000422)
0 file pointer to relocation table
0 file pointer to line numbers
0 number of relocations
0 number of line numbers
60000020 flags
Code
Execute Read
RAW DATA #1
00401000: 68 00 00 00 00 68 0D 20 40 00 68 00 20 40 00 68 h....h. @.h. @.h
00401010: 00 00 00 00 E8 64 30 40 00 68 00 00 00 00 E8 6C ....èd0@.h....èl
00401020: 30 40 00 0@.
SECTION HEADER #2
.data name
1000 virtual size
2000 virtual address (00402000 to 00402FFF)
23 size of raw data
600 file pointer to raw data (00000600 to 00000622)
0 file pointer to relocation table
0 file pointer to line numbers
0 number of relocations
0 number of line numbers
C0000040 flags
Initialized Data
Read Write
RAW DATA #2
00402000: 48 65 6C 6C 6F 20 57 6F 72 6C 64 21 00 48 65 6C Hello World!.Hel
00402010: 6C 6F 20 53 74 61 63 6B 20 4F 76 65 72 66 6C 6F lo Stack Overflo
00402020: 77 21 00 w!.
SECTION HEADER #3
.import name
1000 virtual size
3000 virtual address (00403000 to 00403FFF)
90 size of raw data
800 file pointer to raw data (00000800 to 0000088F)
0 file pointer to relocation table
0 file pointer to line numbers
0 number of relocations
0 number of line numbers
50000040 flags
Initialized Data
Shared
Read Only
RAW DATA #3
00403000: 54 30 00 00 00 00 00 00 00 00 00 00 3C 30 00 00 T0..........<0..
00403010: 64 30 00 00 5C 30 00 00 00 00 00 00 00 00 00 00 d0..\0..........
00403020: 47 30 00 00 6C 30 00 00 00 00 00 00 00 00 00 00 G0..l0..........
00403030: 00 00 00 00 00 00 00 00 00 00 00 00 75 73 65 72 ............user
00403040: 33 32 2E 64 6C 6C 00 6B 65 72 6E 65 6C 33 32 2E 32.dll.kernel32.
00403050: 64 6C 6C 00 74 30 00 00 00 00 00 00 82 30 00 00 dll.t0.......0..
00403060: 00 00 00 00 74 30 00 00 00 00 00 00 82 30 00 00 ....t0.......0..
00403070: 00 00 00 00 00 00 4D 65 73 73 61 67 65 42 6F 78 ......MessageBox
00403080: 41 00 00 00 45 78 69 74 50 72 6F 63 65 73 73 00 A...ExitProcess.
Section contains the following imports:
user32.dll
403064 Import Address Table
403054 Import Name Table
0 time date stamp
0 Index of first forwarder reference
0 MessageBoxA
kernel32.dll
40306C Import Address Table
40305C Import Name Table
0 time date stamp
0 Index of first forwarder reference
0 ExitProcess
Summary
1000 .code
1000 .data
1000 .import
Solução 3
O tamanho da imagem é, de acordo com o dumpbin 890, embora deva ser o tamanho da imagem na memória, ou seja, o RVA + da seção mais recente que a seção é arredondada (por exemplo 0x5000 nesse caso).
Funciona. Obrigado por Anserws, especialmente a dica de dumpbin!
Outras dicas
Você definitivamente está enfrentando esse problema do fim errado. Hackear o hexadecimal nunca vai lhe dar o que você deseja, a estrutura do arquivo PE é muito sofisticada. Você precisará de duas coisas.
- Matt Pietrek's Artigo seminal é uma leitura essencial para entender a estrutura. Não comece o código até entender pelo menos 75% dele.
- Você precisará do Windows SDK. O arquivo incluir/winnt.h contém as declarações das estruturas usadas no formato PE. Começa em _image_dos_header, o primeiro pedaço do arquivo.
Escreva o código para criar as estruturas a partir de suas declarações, essa é a única maneira de acabar com um arquivo executável válido.
PS: Seus depósitos hexadecimais penduram os navegadores de qualquer pessoa que tenta olhar para sua pergunta.
Um rápido Google revelou:
http://rcecafe.net/?p=26. Ninguém aqui vai passar por seus bytes para você, o melhor que você pode esperar são os ponteiros para as ferramentas.
