技術/Windows/PE(Portable Executable)フォーマットの実験 (v1)

技術 / Windows / PE(Portable Executable)フォーマットの実験 (v1)

id: 708 所有者: msakamoto-sf 作成日: 2010-07-14 21:42:15
カテゴリ: Assembler Windows hacks

[ Prev ]
[ Next ]
[ 技術 ]

Windowsで使われている実行ファイルのフォーマット、PE(Portable Executable)関連のトピック集。

これからPEフォーマットを学びたい人向けの進め方ガイド

これからPEフォーマットを学びたい人向けの進め方ガイド

PEフォーマットを使って色々げへへな世界を味わいたい人向けに、どういう順番で学習を進めていけば良いのか簡単にまとめてみました。

STEP 0 : (option) OllyDbgを使ってみよう！

（興味のある人だけ）
別にOllyDbgに限定する必要はなく、マシン語レベルでデバッグできるソフトがあれば、それの使い方を簡単でもよいので学んでおこう！アセンブラも勉強しておくと尚良し！
プロセスのメモリ空間に展開されたPEフォーマットをじっくりと観察出来るので、理解も進むよ！
マシン語レベルのデバッガを使えるようになると、今まで見えなかったOSやCPUの挙動が見えてくるので楽しさも倍増！

STEP 1 : PEフォーマットを覗いてみよう！

まずはPEフォーマットの概要を掴み、WinNT.hを頼りにPythonやC/C++でPEフォーマットをダンプするプログラムを作ってみよう！視界がグンと広がるよ！

アレ用の何か
- http://hp.vector.co.jp/authors/VA050396/index.html
  - PEファイルフォーマットその1 ～その5
Matt Pietrek氏によるPEフォーマット解説, "Inside Windows: An In-Depth Look into the Win32 Portable Executable File Format"
- Part1 : http://msdn.microsoft.com/en-us/magazine/cc301805.aspx
- Part2 : http://msdn.microsoft.com/en-us/magazine/cc301808.aspx

※「アレ用の何か」ではAPI HookingやDLL Injectionまで扱ってますが、STEP 1の段階でそこまで突っ込まなくても大丈夫だよ！慌てずに・・・。

STEP 2 : COFF ObjectファイルやCOFF LIBファイルを覗いてみよう！

PEフォーマットを覗けるようになったら、その一歩手前のオブジェクト(COFF Object)ファイルも簡単に覗けるようになるよ！併せてCOFF LIBファイルのフォーマットも理解しちゃおう！コンパイラやリンカの仕組みも絡んでくるディープな世界へようこそ！

アレ用の何か
- http://hp.vector.co.jp/authors/VA050396/index.html
  - PEファイルフォーマットその1 ～その5
Matt Pietrek氏によるMicrosoft System Journal(MSJ), "Under the Hood"シリーズ
- July 1997, OBJファイルフォーマットとリンカの仕組み
  - http://www.microsoft.com/msj/0797/hood0797.aspx
- April 1998, LIBファイルフォーマット
  - http://www.microsoft.com/msj/0498/hood0498.aspx

※「アレ用の何か」ではCRT(C RunTime library)の関数のhookingを題材にしていますが、そこまで突っ込まなくてもOK！まずはPythonやC/C++で簡単なユーティリティを作って、自力で覗けるようになることを目指そう！

STEP 3 : 仕上げ："Tiny PE"でアセンブラを駆使して小さな実行ファイルを作れるようになろう！

そろそろPEファイルのHEXダンプも見慣れてきた頃かな？
では「仕上げ」として、アセンブラを使ってPEファイルの各種ヘッダーを自分で用意し、100バイト前後の小さな(Tiny)実行ファイルを作ってみよう！
トリッキーなテクニックも使うので、理解するのは大変だろうけど、これまでの知識の総動員となるので復習も兼ねた腕試しだ！