Encabezados PE
Información sobre los encabezados que hay en un ejecutable de Windows
Los ejecutables y las aplicaciones son una gran parte del funcionamiento interno de Windows en un nivel superior. PE (Portable Ejecutable) define la información sobre el ejecutable y los datos almacenados. El formato PE también define la estructura de cómo se almacenan componentes de datos.
El formato PE, es una estructura general para archivos ejecutables y objetos. Los archivos PE ( Portable Executable ) y COFF ( CommonObject File Format ) conforman el formato PE .) conforman el formato PE .
Los datos PE se ven más comúnmente en el volcado hexadecimal de un archivo ejecutable, Se procederá con el volcado hexadecimal de
calc.exe.
La estructura de los datos PE, se dividen en siete componentes:
DOS Header: Define el formato del archivo. Un sistema operativo de computadora que proporciona un sistema de archivos para operaciones como leer, escribir y borrar datos en un disco. Es un sistema operativo informático basado en comandos, orientado a líneas y no gráfico, diseñado para IBM PC. Se desarrollaron varias variaciones de DOS, como MS-DOS (Microsoft) y PC-DOS (IBM).
MZ DOS: Se puede apreciar en el volcado hexadecimal, siempre aparece en un ejecutable al principio.
DOS Stub: Es un programa que se ejecuta de forma predeterminada al principio del archivo y que imprime un mensaje de compatibilidad. El código auxiliar que imprime es:
This program cannot be run in DOS mode.
PE File Header: Proporciona información del encabezado PE del binario. Define el formato del archivo, contiene la firma y el encabezado del archivo de imagen, y otros encabezados de información. Es la sección menos legible para humanos, se puede identificar el encabezado PE en el siguiente volcado hexadecimal:
Image Optional Header: Tiene un nombre engañoso y es una parte importante del PE Header.
Data Dictionaries: Son parte del encabezado opcional de la imagen. Apuntan a la estructura del directorio de datos de la imagen.
Section Table: Definirá la secciones y la información disponible en la imagen. Puede identificar la definición de cada sección de tabla en el volcado hexadecimal.
Una pequeña explicación sobre la secciones de las tablas:
Section
Purpose
.text
Contains executable code and entry point
.data
Contains initialized data (strings, variables, etc.)
.rdata or .idata
Contains imports (Windows API) and DLLs.
.reloc
Contains relocation information
.rsrc
Contains application resources (images, etc.)
.debug
Contains debug information
Última actualización