[Reversing] PE 파일 구조 찾기

[Reversing] PE 파일 구조 찾기

helloworld.exe

 파일을 가지고 직접 찾아 보겠습니다.

• 파일 전체 구조

• 설명
  

1. 1번은 e_magic이며, MZ 입니다. MS-DOS 헤더의 시작이겠죠

2. 2번은 e_lfanew이며, IMAGE_NT_HEADER의 구조체 위치를 나타내죠

1. 1번은 IMAGE_NT_HEADER의 Signature 입니다.
2. 2번은 IMAGE_FILE_HEADER의 Machine 입니다.
3. 3번은 NumberOfSections 부분이며, 파일이 가진 섹션 수를 알려주고 있죠
4. 4번은 TimeDateStamp입니다.
5. 5번은 MAGE_OPTIONAL_HEADER32의 구조체 크기를 알수 있습니다.
   

1. 1번은 IMAGE_OPTIONAL_HEADER의 Magic로 "32bit - 0x10B", "64bit - 0x20B" 입니다.

2. 2번은 SizeOfCode로 코드 양의 전체 크기를 알려주죠
3. 3번은 AddressOfEntryPoint 파일이 메모리에서 시작되는 지점을 알려주죠 (시작주소 RVA 값)
4. 4번은 ImageBase로 로드할 가상 메모리 주소를 알려주죠
5. 5번은 SizeOfImage 메모리에 로딩됐을 때 전체크기를 알려주죠
6. 6번은 SizeOfHeaders PE 헤더의 크기를 알려주죠 (파일 시작 부분에서 SizeOfHeaders 만큼 떨어진 위치에서 첫 번째 섹션 시작)

섹션부분은 추후 올리겠습니다.