[리버싱 입문] PE란?

리버싱 입문 이라는 책을 읽으면서 제게 도움이 되었던 정보들을 조금 더

이것 저것 참고 해서 공부한 내용입니다.

 

제가 공부한 것을 복습하고 찾아볼 목적으로 올린 글입니다

혹시 틀린 부분이 있다면 댓글로 지적해주세요!

++ 리버싱 입문 교재에서 미리보기로 무료 배포 되어있는 부분은 출처를 남기고 가져왔습니다.

---

 

[section 4 - PE파일 기본 개념]

 

http://www.yes24.com/Product/Goods/27628413

 

사용자가 사용하는 소프트웨어는 보통 고급언어로 만들어진다. (ex : java, C ..)

프로그램을 실행하는 운영체제는 고급언어를 이해할 수 없다. (기계어만 이해가능)

이렇게 운영체제가 이해할 수 있는 기계어로 번역을 해주는 기능을 담당하는 것이 바로 컴파일러 이다.

lucete1230-cyberpolice.tistory.com/157?category=889574 >> 참고하기

 

기계어는 파일로 만들어 지는데, EXE나 DLL같은 확장자로 만들어 진다.

이러한 파일을 PE파일이라고 한다.(실행파일)

 

 

PE파일은 PE포맷에 따라 만들어야한다.

 

 

PE포맷이란? (PE == PE포맷)

PE 포맷(Portable Executable)은 윈도우 운영 체제에서 사용되는 실행 파일, DLL, object 코드, FON 폰트 파일 등을 위한 파일 형식이다. PE 포맷은 윈도우 로더가 실행 가능한 코드를 관리하는데 필요한 정보를 캡슐화한 데이터 구조체이다.

즉 윈도우에서 만든 프로그램이 실행되려면 준수해야하는 일종의 규칙이다.

 

이 규칙을 지키지 않는 프로그램은 올바로 실행되지 않는다. 리버싱은 기계어로 구성된 실행 파일을 분석해서 

동작을 파악하는 과정이기 때문에, 리버서는 반드시 PE포맷에 대해 자세히 알아야 한다.

 

 

 

PE파일 종류

종류	주요 확장자
실행 계열	EXE, SCR
라이브러리 계열	DLL, OCX, CPL, DRV
드라이버 계열	SYS, VXD
오브젝트 파일 계열	OBJ

 

윈도우에서 프로그램 개발 --> 컴파일 --> 실행 파일 ==> PE형식 

 

PE 파일은 헤더와 바디(body)로 구성되고,

헤더는 PE파일이 동작에 대한 규칙을 담고 있다. 

바디는 헤더에 적혀 있는 규칙에 따라 실행되는 기계어들이 저장되어있다.

 

rednooby.tistory.com/33  

위 블로그를 참고해주시면 pe구조에 대해 자세히 설명 되어있습니다.

 

 

 

https://rednooby.tistory.com/33

 

PE파일을 분석할 때 데이터가 어디에 위치해 있는지 헤더에 정보를 가지고 찾을 수 있다.

이때 사용하는 값이 주소인데 크게 세 종류의 주소 형식을 사용하고 있다.

 

 

주소 지정방법

- pFile : PE 파일 내부에서의 오프셋(파일)

- RVA : 메모리에 로드됐을 때, 기준값에서 얼마나 떨어져 있는지를 나타내는 상대 위치(메모리)

- VA : 가상 메모리상에 저장되는 실제 주소(메모리)

 

pFile은 PE파일이 물리적으로 하드디스크에 저장되었을 때 의미 있는 값이며 VA와 RVA는 PE파일이 메모리에 로드됐을 때 의미 있는 값이다.

 

윈도우에서 DLL (Dynamic Linking Library)이라는 개념을 사용하고 있다.

말 그대로 프로그램에서 필요한 라이브러리 사용 시점에 동적으로 연결한다는 얘기다.

 

--> 모든 기능을 실행 파일 안에 넣으면 비효율적임

 

PE 파일에는 DLL을 사용할 수 있도록 지원하는 IAT정보가 포함 되어있다.

---

 

IAT

IAT(Import Address Table)은 실행 파일(PE 파일)안에 어떤 라이브러리의 어떤 함수를 가져다 쓰는지 기록해 놓은 정보이다. 로더는 PE파일을 메모리로 로딩할 때 IAT에 기록된 API이름을 참조해서 실제 주소를 찾아 IAT 안에 API를 가리키는 주소를 적어놓는다. 코드에서 라이브러리를 참조하는 부분은 IAT 내부에 있는 함수 주소를 사용하고 있다.

 

자세한 설명은 아래 블로그 주소를 참고해주세요

yokang90.tistory.com/26

(사실 전 봐도 잘 이해가 안되네요..)