抛砖引玉-PE64简单解析代码

飘云

周五了，O(∩_∩)O哈哈~很久没进Windows了，开虚拟机随手写一段烂代码玩玩，纯属支持小Q x64版块~~~{:soso_e113:}

1. 
   
2. /*
   
3. winnt.h 中VS做了平台宏判断，所以直接用即可，不用刻意区分32、64
   
4. 
   
5. 详见：
   
6. #ifdef _WIN64
   
7. typedef IMAGE_NT_HEADERS64                  IMAGE_NT_HEADERS;
   
8. typedef PIMAGE_NT_HEADERS64                 PIMAGE_NT_HEADERS;
   
9. #else
   
10. typedef IMAGE_NT_HEADERS32                  IMAGE_NT_HEADERS;
    
11. typedef PIMAGE_NT_HEADERS32                 PIMAGE_NT_HEADERS;
    
12. #endif
    
13. */
    
14. 
    
15. /*
    
16. PE64 简单解析 By 飘云/P.Y.G
    
17. 2015-01-09
    
18. https://www.chinapyg.com
    
19. */
    
20. 
    
21. #include <stdio.h>
    
22. #include <windows.h>
    
23. 
    
24. int main()
    
25. {
    
26.         FILE *fp;
    
27.         char szFileName[MAX_PATH];
    
28. 
    
29.         IMAGE_DOS_HEADER DOS_Header;                        // DOS头结构
    
30.         IMAGE_NT_HEADERS NT_Header;                                // PE头结构
    
31.         IMAGE_SECTION_HEADER *lpSection_Header;        // 区段表结构指针
    
32. 
    
33.         printf("请输入文件路径：");
    
34.         gets(szFileName);
    
35. 
    
36.         fp = fopen(szFileName, "rb");
    
37.         if(!fp)
    
38.         {
    
39.                 printf("\n[PYG]--打开文件出错，请重试!\n");
    
40.                 getchar();
    
41.                 exit(0);
    
42.         }
    
43. 
    
44.         printf("\n--------------------PE基本信息-------------------\n");
    
45.         // 读取Dos头
    
46.         fread(&DOS_Header, sizeof(IMAGE_DOS_HEADER), 1, fp);
    
47. 
    
48.         // 验证PE合法性
    
49.         if (DOS_Header.e_magic != IMAGE_DOS_SIGNATURE)
    
50.         {
    
51.                 printf("[PYG]--非PE文件!\n");        
    
52.                 fclose(fp);
    
53.                 getchar();
    
54.                 exit(0);
    
55.         }
    
56. 
    
57.         // PE头偏移
    
58.         printf("PE头偏移：0x%.2X\n", DOS_Header.e_lfanew);
    
59. 
    
60.         // 定位到PE头
    
61.         fseek(fp, DOS_Header.e_lfanew, 0);
    
62.         // 读取PE头数据
    
63.         fread(&NT_Header, sizeof(IMAGE_NT_HEADERS), 1, fp);
    
64. 
    
65.         // 继续验证PE合法性
    
66.         if(NT_Header.Signature != IMAGE_NT_SIGNATURE)
    
67.         {
    
68.                 printf("[PYG]--非PE文件!\n");
    
69.                 fclose(fp);
    
70.                 getchar();
    
71.                 exit(0);
    
72.         }
    
73. 
    
74.         printf("区段数量：0x%.2X\n", NT_Header.FileHeader.NumberOfSections);
    
75.         printf("入 口 点：0x%.8X\n", NT_Header.OptionalHeader.AddressOfEntryPoint);
    
76.         printf("镜像基址：0x%.16X\n", NT_Header.OptionalHeader.ImageBase);
    
77.         printf("镜像大小：0x%.8X\n", NT_Header.OptionalHeader.SizeOfImage);
    
78.         
    
79.         printf("\n------------------各区段详细信息-----------------\n\n");
    
80. 
    
81.         // 定位到区段首地址
    
82.         fseek(fp, DOS_Header.e_lfanew + sizeof(IMAGE_NT_SIGNATURE) + NT_Header.FileHeader.SizeOfOptionalHeader + sizeof(IMAGE_FILE_HEADER), 0);
    
83.         lpSection_Header = new IMAGE_SECTION_HEADER[NT_Header.FileHeader.NumberOfSections];
    
84.         // 读取区段数据
    
85.         fread(lpSection_Header, NT_Header.FileHeader.NumberOfSections * sizeof(IMAGE_SECTION_HEADER), 1, fp);
    
86. 
    
87.         printf("Name        Offset         V.Addr          V.Size   R.Size   Flags\n");
    
88.         printf("-------------------------------------------------\n");
    
89.         for(int i = 0; i<NT_Header.FileHeader.NumberOfSections; i++)
    
90.         {
    
91.                 printf("%s        ", lpSection_Header[i].Name);
    
92.                 printf("%.8X ", lpSection_Header[i].PointerToRawData);
    
93.                 printf("%.8X ", lpSection_Header[i].VirtualAddress);
    
94.                 printf("%.8X ", lpSection_Header[i].Misc.VirtualSize);
    
95.                 printf("%.8X ", lpSection_Header[i].SizeOfRawData);
    
96.                 printf("%.8X \n", lpSection_Header[i].Characteristics);
    
97.         }
    
98.         fclose(fp);
    
99.         getchar();
    
100.         return 0;
     
101. }
     

复制代码

Dxer

正在转向64位。谢谢飘哥 分享代码

LIwianwpIO

多谢坛主分享

lcy925

高手！
学习……

Crack_Qs

感谢飘哥分享

gujin162

果断回帖，如果沉了就是我弄沉的很有成就感。

lucky_789

学习了{:soso_e179:}

small-q

{:soso_e179:}嘿嘿，又多了一份精品

yuzhenyujia

马上学习飘大的作品

Bunken

感谢飘哥，向飘哥学习