레나 3에서는 간단하게 PE구조에 대해서 공부할 수 있다.
사용할 도구는 pe view이다
레나 3파일을 실행시키면 다음과 같다.
그리고 코드의 흐름은 다음과 같다.
이때 nag을 지나가는 방법은 je를 jmp로 변경시키는 방법도 있지만 pe 구조를 변경시켜서 enter point를 nag다음으로 설정하는 방법도 있다.
일단 기본적인 파일의 pe 구조는 다음과 같다.
pe구조 설명 : https://rednooby.tistory.com/33
PE(Portable Executable) 말 그대로 옮겨다니면서 실행시킬 수 있는 파일을 뜻합니다.
MS에서 다른 운영체제와 이식성을 좋게 하기위해 만든 파일 포맷입니다
PE파일의 종류
실행, 드라이버, 라이브러리, 오브젝트 총 4개의 계열이 있습니다
- 실행계열: EXE, SCR
- 드라이버계열: SYS,VXD
- 라이브러리 계열: DLL, OCX, CPL, DRV
- 오브젝트 계열: OBJ
왜 해야하는가?
- PE구조는 파일이 실행되기 위한 모든 정보를 볼 수 있기 때문입니다.
- 프로그램이 사용하는 API나 어느 메모리주소에 파일이 로딩되는지 알 수 있기 때문입니다
Null값이 존재하는 이유
자세히 보시면 헤더의 끝부분과 각섹션 끝에 Null값이 붙는것을 확인하실 수 있습니다
Null은 padding이라고 불리우기도 합니다
즉. 최소 기본단위를 사용하기위해 Null값이 존재합니다.
-최소 기본단위? 컴퓨터에서 파일, 메모리, 네트워크 패킷 등을 처리할때 효율을 높이기 위한 개념
파일/메모리에서 섹션의 시작위치는 각각 최소 기본단위의 배수에 해당하는 위치여야하고 빈공간은 Null로 채워버립니다. (이해가 안되시는분은 아래그림 참고)
한번더 정리를 하자면..
각 세션의 시작위치는 최소기본단위의 배수에 해당하는 위치여야 하며 그값이 부족할 경우 Null값을 줘서 부족한 공간을 채워줍니다 이렇게 해서 최소기본단위가 적용된다고 말할 수 있겠습니다
VA & RVA
VA는 (Virtual Address): 메모리의 절대주소
RVA(Relative Virtual Address): 어느 기준 위치(ImageBase)에서부터의 상대주소
1) 먼저 PE가 메모리에 적재되기 전에 기본 ImageBase는 0입니다
2) 그리고 PE안에서는 상대주소로 주소가 적히게 됩니다
- 메모리에 적재시 절대주소가 들어가게 된다면 Relocation이 어렵기 때문입니다
- 상대주소가 들어가면 ImageBase에서 얼마만큼 떨어진 곳으로 이동하면 되기때문에 Relocation이 쉽게되어 상대주소를 사용합니다
Relocation: 재배치
왜 RVA(상대주소)를 사용해야 하는가?
PE헤더 내의 정보는 RVA형태로 된 것이 많습니다.
PE파일(주로DLL)이 프로세스 가상메모리의 특정위치에 로딩되는 순간 이미 그위치에 다른PE파일(DLL)이 로딩되어 있을 수 있습니다. 이때 재배치(Relocation)를 통해서 비어있는 다른자리에 로딩되어야 하는데 만약 PE헤더 정보들이 VA로 되어있다면 정상적인 엑세스가 이루어지지 않았을것입니다
이해가 안되신다면 그림으로 설명해드리겠습니다
game.dll가 00000000이라는 위치에 로딩되는순간 notepad.dll이 먼저 로딩이 되어버렸습니다
하나의 위치에 2개의 dll파일이 올라갈 수 없기 때문에 이때 재배치(Relocation)을 해줘야 하는 상황이 생기게 됩니다
이때 PE헤더 정보들이 VA(절대주소)로 되어있다면 정상적인 엑세스가 이루어 지지 않기 때문에
RVA(상대주소)로 해서 재배치가 발생해도 기준에 대한 상대주소는 변하지 않기 때문에 문제없이 원하는 정보에 엑세스 할 수 있게 됩니다.
VA와 RVA의 관계식
RVA + ImageBase = VA
상대주소 + 기준위치 = 절대주소
기본적인 섹션 구조
섹션의 헤더
섹션의 헤더에는 섹션의 크기, 섹션의 시작위치, 파일에서 섹션이 차지하는 크기, 파일에서 섹션의 위치, 섹션의 속성을 담고 있다.
섹션의 종류
1) .text
- 코드 섹션으로써 프로그램을 실행하기 위한 코드를 담는 섹션
2) .data - 데이터 섹션으로써 초기화된 전역 변수들을 담고 있는 읽고 쓰기가 가능한 섹션
- 64bit에서는 PE 파일에서부터 .bss섹션(초기화 되지 않은 공간)과 .data섹션에 병합됨
3) .rsrc - 리소스 섹션으로써 대화상자, 아이콘 등 윈도우 PE 파일이 담고있는 리소스 관련 데이터를 담은 섹션
4) .rdata - 읽기전용 데이터 섹션으로써 문자열 상수나 C++ 가상 함수 테이블 등을 배치
- 코드 상에 참조하는 읽기 전용 데이터도 이 섹션에 포함
해석
원래 Address of entry Point는 1000이 였다 image Base + address of entry point 를 더하면 4010000이고 이것이 메모리의 시작 주소이다.
위 사진처럼 entry point를 1024로 변경하여 메세지 박스를 넘겼다.
그 후에 나오는 메세지 박스는 nop으로 대체하였다.
