1 Дослідження структури виконуваного файлу ре - формату

Зсув

Довжина,

байт

Призначення

00h

2

Тип комп’ютера, для якого створювалася програма.

Деякі можливі значення:

0000h – невідомий тип комп’ютерної платформи;

014Ch – Intel i80x86;

0160h, 0162h, 166, 168 – MIPS;

0184h – DEC Alpha AXP;

01F0h – Power PC;

0268h – Motorola 68000.

02h

2

Кількість секцій в РЕ – файлі

04h

4

Час створення файлу. Відлік часу проводиться в секундах, що минули з 16:00 31.12.1969.

08h

4

0

0Ch

4

0

10h

2

Розмір додаткового заголовку РЕ-файла.

12h

2

Інформаційні прапори:

0001h – інформація про переміщення видалена з файла;

0002h – файл уявляє собою виконуване відображення, тобто не має нерозв’язаних зовнішніх посилань;

0004h – інформація про номери рядків видалена з файла;

0008h – розташування байт в машинному слові зворотне, тобто відповідає принципу “молодший байт за молодшою адресою”;

0100h – розмір машинного слова 32 біта;

0200h – відлагоджувальна інформація видалена з виконуваного файла в файл .dbg;

1000h – системний файл;

2000h – dll-бібліотека;

Зсув

Довжина,

байт

Призначення

+00h

2

Сигнатура, що визначає стан РЕ – файла. Можливі значення:

0107h – відображення постійного запам’ятовуючого пристрою;

010Вh – звичайний виконуваний файл.

+02h

2

Версія компанувальника, який створив виконуваний файл.

+04h

4

Розмір секції коду в байтах.

+08h

4

Розмір секції ініціалізованих даних.

+0Ch

4

Розмір секції неініціалізованих даних.

+10h

4

Адреса (ВАП), з якої починається виконання модуля. Вона знаходиться в секції коду.

+14h

4

ВАП, з якої починаються програмні секції РЕ – файла. Якщо файл був створений компанувальником Mikrosoft, то програмна секція починається з адреси 1000h. Компанувальник Borland (Inprise) розміщує секцію коду з адреси 10000h.

+18h

4

ВАП, з якої починаються секції даних РЕ – файла. Звичайно вони розташовані за секціями коду. Усі об’єкти РЕ – файла, в тому числі секції коду і даних, вирівнюються на кратну границю: компанувальник Microsoft вирівнює об’єкти на границю кратну 4 Кбайт, компанувальник Borland – на границю 64 Кбайт.

Зсув

Довжина,

байт

Призначення

+1Ch

4

Адреса оперативної пам’яті, куди передбачається завантаження файла. Цю адресу формує компанувальник. Якщо файл дійсно завантажується за цією адресою, то завантажувальнику не потрібно робити більше ніяких настроювань, тому процес завантаження відбувається швидше. Якщо завантажувальник не може розмістити файл за вказаною адресою, то він вимушений виконувати настроювання адрес.

+20h

4

Значення вирівнювання для секції. Кожна секція в РЕ – файлі вирівнюється на границю, чисельне значення якої кратно величині, що вказана в даному полі (див. Також описання поля 0018h).

+24h

4

Значення кратності, відповідно до якого вирівнюються дані в РЕ – файлі.

+28h

4

Номер самої старої версії (модифікації) операційної системи, в середовищі якої може працювати даний файл (звичайно 1.0).

+2Сh

4

Визначається користувачем за допомогою ключа компанувальника /VERSION:n.m (для link.exe (MASM)), або /Vn.m (для tlink32.exe (TASM)). Значення n и m заносяться до двох слів цього поля.

+30Ch

4

Номери самої старої версії (і модифікації) операційної системи WINDOWS NT, в середовищі якої може працювати даний файл (звичайно 4.0).

+34h

4

0

+38h

4

Розмір РЕ – файла, вирівняний на ближню границю секції.

+3Сh

4

Загальний розмір усіх заголовків в РЕ – файлі, включаючи заголовок MS-DOS, РЕ – заголовок, Додатковий РЕ – заголовок та заголовки РЕ – секцій.

+40h

4

Для виконуваних файлів це поле дорівнює 0. Для файлів dll - бібліотек поле містить контрольний підсумок (crc).

+44h

2

Тип користувальницького інтерфейсу, що використовується РЕ – файлом:

0000h – невідома підсистема;

0001h – підсистема не потрібна (драйвер пристрою);

0002h – Windows GUI;

0003h – консольна програма Windows;

0005h – OS/2;

0007h – Posix.

+46h

2

0

+48h

4

Потрібний об’єм пам’яті для стека.

+4Сh

4

Виділювана кількість пам’яті для стека.

+50h

4

Потрібний об’єм пам’яті для локальної кучі.

+54h

4

Виділювана кількість пам’яті для локальної кучі.

+58h

4

0

+5Ch

4

Кількість елементів масиву структур, що описують місцерозташування і розмір деяких значимих таблиць і областей виконуваного файла. Значення звичайно дорівнює 10h.

+60h

10h*2*4

Масив структур, кожна з яких складається з двох полів (розмірність кожного поля dword):

ВАП розташування даних в РЕ – файлі;

розмір даних.

Реальне наповнення мають перші 12 структур в даному масиві. Вони описують розташування таких даних в РЕ – файлі:

0 – таблиця експортуємих функцій;

1 – таблиця імпортуємих функцій;

2 – таблиця ресурсів;

3 – таблиця виключень;

4 – таблиця безпечності;

5 – таблиця настроювання;

та ін.

Зсув

Довжина,

байт

Призначення

+00h

8

Ім’я секції (якщо ім’я менше 8 байт, то воно додано справа нуями).

+08h

4

Розмір секції (потрібна кількість пам’яті).

+0Сh

4

ВАП, за якою завантажувальник повинен завантажити секцію.

+10h

4

Розмір секції, вирівняний на найближчу (в більший бік) границю, у відповідності з розміром вирівнювання (см. Поля +20h и +24h в табл. 1.2).

+14h

4

ВАП в РЕ – файлі, де знаходяться дані для секції. Це поле сумісно з полем +0Сh необхідне для того, щоб дозволити програмісту самому керувати завантаженням РЕ – файла.

+18h

12

0

+24h

4

Флаги, які характеризують атрибути секції.