PE可执行文件加载器

PE文件加载器

模仿操作系统，加载pe文件到内存中

该项目主要是为了检测pe的学习程度，是否都完全理解了。当然没有完全理解

实现功能的如下：

模仿操作系统，加载pe文件到内存中，然后执行待执行的pe文件
修复IAT，reloc等重要信息

当然，这只是一个雏形，有很多工作都没有完成，TODO列表

DLL文件加载，这个其实很简单，只需要解析导出表，然后修正就行了
绑定IAT的加载，这块懒得做
延迟加载，也是懒得做

所以我们的这个小型加载器，只是负责重定位表的解析和重定位表的解析。不过对于一个小型程序来讲够用了。下面说一下思路

根据pe头中的optionalheader中的SizeOfImage，申请内存。内存的基地址为ImageBase。SizeOfImage为pe文件在内存对齐的情况下，所需要的空间的大小。基地址这块的话，建议为ImageBase的地址，当然，如果该pe文件有重定位信息的话，就说明该pe文件可以加载到内存的任意位置。随后根据重定位表修正就行了
根据pe头中的SizeOfHeader，获取pe头的大小。该值为文件对齐的值。根据该值，我们调用Rtlmemcopy将pe头拷贝到内存中
解析pe头，获取numberofSection，根据此值，处理section。将section拷贝到内存中
处理iat 分别解析iat中的内容，并修正
处理重定位表。如果加载的基地址为ImageBase的话，则无需处理。否则必须处理
跳转到Address of entry，开始执行pe文件

注意事项：

暂时忽略loadflag等等
为了方便，申请的内存可读可写可执行，并没有根据section的属性去设置
被加载的程序，与主程序使用同一个heap和stack。所以不需要关注sizeofstack等值
一定要修改主程序的加载基地址，修改非0x0040000的位置。不然无法申请0x00400000的地址。修改该值的话，在vs的链接选项中

下面数一下详细的操作

判断是否pe文件

这块很简单，没什么说的，看代码即可

	PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)BaseAddr;

	PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)((UINT_PTR)BaseAddr + pDos->e_lfanew);

	if (pDos->e_magic == IMAGE_DOS_SIGNATURE && pNt->Signature == IMAGE_NT_SIGNATURE) {

		return true;

	}

申请内存

根据sizeofimage去申请内存即可。当然我这个函数很粗，在imagebase无法使用的情况下，并没有判断程序是否可以重定位的情况下，强行修改imagebase。大家在使用的时候最好判断一下。

	DWORD dwSizeOfImage = pnt->OptionalHeader.SizeOfImage;

	DWORD dwImageBaseAddr = pnt->OptionalHeader.ImageBase;

	//为了安全性，暂时将该申请的内存区域设置成可读可写，等一会再根据需要重新设置

	//必须要设置MEM_RESERVE，不然不能申请0x00400000地址

	LPVOID returnAddr = VirtualAlloc((LPVOID)dwImageBaseAddr, dwSizeOfImage, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);

	if (GetLastError() == 0) {

		printf("[+] 正在根据pe的加载基地址 申请内存，基地址为 0x%p\n", (LPVOID)dwImageBaseAddr);

		return returnAddr;

	}

	else {

		returnAddr = VirtualAlloc(NULL, dwSizeOfImage, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);

		printf("[+] pe的加载基地址不能用，正在重新申请地址中，基地址为 0x%p\n", (LPVOID)dwImageBaseAddr);

		return returnAddr;

	}

拷贝pe头到内存中

其实对于咱们的加载器来讲。拷贝不拷贝pe头，并不会正常影响文件的执行。所以这个是一个可选的步骤。当然，我为了方便，因为在后面我会释放掉读取文件的内存。所以必须拷贝pe头。该函数比较简单，直接调用rtlcopy函数即可

static void __stdcall CopyNtHeaderToMem(IN LPVOID lpPemem, IN LPVOID Header, SIZE_T size) {

	//获取nt头的size，文件对齐值，一般是一页文件对齐

	RtlCopyMemory(lpPemem, Header, size);

	printf("[+] 正在拷贝pe头到 0x%p中\n", lpPemem);

}

拷贝section到内存

这块比较简单。读取sectionHeader，header中说明的section的VA和FOA以及size，我们只需要根据这些信息，拷贝到内存的指定位置即可

static void __stdcall CopySectionToMem(IN LPVOID lpPeMem, IN LPVOID lpBaseAddr, IN PIMAGE_NT_HEADERS pNt) {

	//暂时不处理内存属性，全部可读可写可执行哈哈哈哈

	DWORD dwNumOfSection = pNt->FileHeader.NumberOfSections;

	DWORD dwSectionAlignment = pNt->OptionalHeader.SectionAlignment;

	PIMAGE_SECTION_HEADER pSecHed = (PIMAGE_SECTION_HEADER)((UINT_PTR)pNt + sizeof(IMAGE_NT_HEADERS));

	for (DWORD index = 0; index < dwNumOfSection; index++)

	{

		DWORD dwRva = pSecHed->VirtualAddress;

		DWORD dwFOA = pSecHed->PointerToRawData;

		DWORD dwSize = pSecHed->SizeOfRawData;

		//拷贝源是文件对齐的foa

		LPVOID SecDataSrc = (LPVOID)((UINT_PTR)lpBaseAddr + (UINT_PTR)dwFOA);

		//目的地址是RV

		LPVOID SecDataDst = (LPVOID)RVA2VA(lpPeMem, dwRva);

		//开始拷贝

		RtlCopyMemory(SecDataDst, SecDataSrc, dwSize);

		printf("[+] 正在拷贝 %s section 到内存的 0x%p, 大小为 %d\n", pSecHed->Name, SecDataDst, dwSize);

		pSecHed = (PIMAGE_SECTION_HEADER)((UINT_PTR)pSecHed + sizeof(IMAGE_SECTION_HEADER));

	}

	return;

}

处理IAT

在PE文件中，IAT（Import address Table）和INT（Import Name Tbable）其实差不了太多。导入表的话一般都在.rdata节中。在pe中，IAT最终会存放相应函数的内存地址。下面以一个例子来说明

某程序会调用KERNEL32.dll!IsProcessorFeaturePresent函数，反汇编代码如下

 004013E3  6A17                      		push	00000017h

 004013E5  E84F090000                		call	jmp_KERNEL32.dll!IsProcessorFeaturePresent

 004013EA  85C0                      		test	eax,eax

0x004013E5中存放的为机器码，E8代表call执行，后面的值为距离该地址的偏移，偏移值为0x0000094F。

则程序会调转到 0x004013EA + 0x0000094F，也就是0x0040$D19。下面看一下该地址的反汇编代码

 00401D39  FF251C204000              		jmp	[KERNEL32.dll!IsProcessorFeaturePresent]

FF代表绝对跳转， JMP r/m32 绝对跳转（32位），下一指令地址在r/m32中给出。也就是取出地址0x0040201c25中的值。跳转过去。而0x0040201c25，就是rdata节。该处为IAT。

而pe文件中，IAT首先会存放va，指向一个IMAGE_IMPORT_BY_NAME，里面存放导入函数的名称和hint。

所以修复IAT很简单，首先遍历INT，INT的结构如下

遍历到INT，拿到加载dll的名字。调用loadlobrary加载。

然后通过FirstTrunk的方式，去遍历IAT。再根据IAT中的信息，调用GetProcAddress函数，获取到真正的函数地址。修正IAT即可

代码如下

	PIMAGE_IMPORT_DESCRIPTOR pImportTab = (PIMAGE_IMPORT_DESCRIPTOR)RVA2VA(lpPeMem, dwImportTableRVA);

	//根据桥2修复就行了，不用根据桥1

	while (pImportTab->OriginalFirstThunk && pImportTab->FirstThunk) {

		char* DllName = (char*)(RVA2VA(lpPeMem, pImportTab->Name));

		printf("[+] 正在修正导入库 %s\n", DllName);

		PDWORD FirstTunkVA = (PDWORD)RVA2VA(lpPeMem, pImportTab->FirstThunk);

		HMODULE hModle = LoadLibraryA(DllName);

		while (*FirstTunkVA != 0) {

			PIMAGE_IMPORT_BY_NAME pImportName = (PIMAGE_IMPORT_BY_NAME)(RVA2VA(lpPeMem, *FirstTunkVA));

			//这块主要是为了处理exitprocess，拦截程序的exitprocess，我们可以从这里获取程序的返回结果

			if (strcmp(pImportName->Name, "ExitProcess") == 0) {

				procAddr = (FARPROC)& MyExitProcess;

			}

			else

			{

				procAddr = GetProcAddress(hModle, pImportName->Name);

			}

			*FirstTunkVA = (DWORD)procAddr;

			FirstTunkVA = (DWORD*)((DWORD)FirstTunkVA + sizeof(DWORD));

#ifdef _DEBUG

			printf("\t[+] 正在修正 %s 的导入地址， 修正后的函数地址为 0x%p\n", pImportName->Name, procAddr);

#endif // _DEBUG

		}

		printf("\n");

		pImportTab = (IMAGE_IMPORT_DESCRIPTOR*)((UINT_PTR)pImportTab + sizeof(IMAGE_IMPORT_DESCRIPTOR));

	}

当然，我们也可以在这里hook函数。比如我为了拦截被加载程序的结果。在修复ExitProcess函数的时候，将该函数的调用地址并没有修正到kernel32.dll中。而是修正到自己的代码中。

而hook的函数写法，按照你想hook函数的参数写就行。例

void MyExitProcess(_In_ UINT uExitCode) {

	printf("\n[+] 程序已退出，退出代码为 %d\n", uExitCode);

	ExitProcess(uExitCode);

}

处理重定位表

根据重定位表的定义，里面存放着相对于ImageBase的偏移。我们需要读取到该偏移后，转换成virtual address。与当前加载的基地址进行对比。根据偏移去修复即可。重定位表的解释如图

代码如下



	PIMAGE_BASE_RELOCATION pReloc = (PIMAGE_BASE_RELOCATION)RVA2VA(lpPeMem, pRelocRVA);

	printf("[+] 发现重定位表，开始修正...\n");

	while (pReloc->VirtualAddress) {

		DWORD dwSizeOfBlock = (pReloc->SizeOfBlock - 8) >> 1;

		DWORD dwVa = pReloc->VirtualAddress;

		PWORD block = (PWORD)((UINT_PTR)pReloc + sizeof(IMAGE_BASE_RELOCATION));

		printf("[+] 发现 %d块需要重定位的地址信息\n", dwSizeOfBlock);

    DWORD dwDelta = (DWORD)lpPeMem - pNt->OptionalHeader.ImageBase;

		for (DWORD index = 0; index < dwSizeOfBlock; index++)

		{

			WORD relocBlock = *block;

			if (((relocBlock & 0xF000) >> 12) == IMAGE_REL_BASED_HIGHLOW) {

				DWORD wOffset = (relocBlock & 0x0FFF | 0x00000000) + dwVa;

				PDWORD pAddress = (PDWORD)(wOffset | (DWORD)lpPeMem);

				*pAddress = *pAddress + dwDelta;

#ifdef _DEBUG

				printf("[+] 修正后的地址为 0x%08x\t\n", pAddress);

#endif

			}

			block = (PWORD)((UINT_PTR)block + sizeof(WORD));

		}

		pReloc = (PIMAGE_BASE_RELOCATION)block;

	}

至此，一个pe文件所需要的东西，就已经全部解析完。下面我们需要跳转到入口点。入口点为optionalheader的entry of address。该值为RVA。需要转换成VA才可以。转换完成后，我们在vs中使用内联汇编。jmp跳转过去即可。代码如下

	DWORD EntryOfImage = RVA2VA(lpPeMem, pNt->OptionalHeader.AddressOfEntryPoint);

	printf("[+] 所有的内容都处理完毕，跳转到addresss of entry,地址为 0x%p\n\n", (LPVOID)EntryOfImage);

	__asm {

		jmp EntryOfImage;

	}

测试结果

下面来测试一个vs 2019编译的程序，该程序使用MessageBox弹框，调用printf输出1111。该程序使用release模式编译，存在重定位表。加载截图如下

目前已知的bug

大部分的容错机制都没有，毕竟只是一个简单的程序。
容易出现无法申请内存的问题

完整的代码，请去github上看

https://github.com/potats0/PeLoader