Sadržaj
Analiza PE datoteka iz perspektive forenzike
Sažetak
PE datoteka izvršna je datoteka operacijskog sustava Windows. Uz sam izvršivi kod i podatke sastoji se i od ostalih informacija koje loaderu govore kako učitati datoteku u radnu memoriju da bi se ona ispravno izvršila. Dijelovi PE datoteke su MZ header, DOS Stub, PE header, Optional header, Section headers i Sections. Izvršni kod nalazi se u sekcijama, a najvažniji podaci koji govore na koje se virtualne adrese taj kod mora učitati nalaze se u Optional headeru i pripadnom Section headeru. Datoteka također može koristiti i vanjske biblioteke i informacije o potrebnim funkcijama nalaze se u Import direktoriju, a u toj pripadajućoj vanjskoj biblioteci, dll-u, informacije o dostupnim funkcijama nalaze se u Export direktoriju.
PE datoteke
PE (Portable Executable) je format izvršnih datoteka u Windows operacijskim sustavima i baziran je na COFF formatu datoteka (Common Object File Format). U PE datoteke spadaju izvršne datoteke .exe, dinamički alocirane biblioteke .dll, kernel moduli .srv i mnoge druge.
PE datoteka sastoji se od podataka koji su potrebni prilikom izvršavanja datoteke i samog izvršnog koda, no taj se izvršni kod treba najprije učitati u radnu memoriju. U tu svrhu, loader parsira PE datoteku, izvuče sve potrebne informacije o tome kako alocirati i smjestiti podatke u memoriju tako da se datoteka može izvršiti na ispravan način. Uz to, PE datoteka sadrži i informacije o vanjskim bibliotekama koje zahtijeva da budu učitane za njeno ispravno izvršavanje te informaciju gdje točno počinje samo izvršavanje.
Struktura, koju datoteka mora zadovoljavati, vidljiva je na slici 1.1. PE datoteka započinje MZ headerom nakon kojeg slijede DOS Stub, PE header, Optional header, određen broj Section headera i taj isti broj Sectiona. U nastavku će se detaljno razmatrati dijelovi PE datoteke i koje se informacije nalaze u kojem dijelu.
Slika 1.1 - struktura PE datoteke
MZ header i DOS Stub
PE datoteku možemo prepoznati po prva dva bajta u datoteci, takozvanim magic bajtovima. Oni iznose 0x4D 0x5A (MZ) i to je ujedno i početak MZ headera koji je veličine 0x40 bajtova. Najvažnija informacija koju MZ header sadrži, e_lfanew, nalazi se na offsetu 0x3C. Tu je unutar 4 bajta zapisano mjesto (offset od početka datoteke) na kojem započinje PE header.
Odmah nakon MZ headera slijedi DOS Stub koji se prepoznaje po poruci “This program cannot be run in DOS mode”. Ta će se poruka ispisati ako se pokrene u MS DOS-u kao znak da datoteka nije kompatibilna s MS-DOSom. Windows operacijski sustav iskoristit će e_lfanew na kraju MZ headera i prilikom ispravnog izvršavanja preskočit će DOS Stub koji postoji samo zbog kompatibilnosti.
Na slici 2.1 vidljivo je kako izgleda početak PE datoteke, odnosno vidljivi su MZ header s označenim bitnim poljima i DOS Stub.
Slika 2.1 - MZ header i DOS Stub, alat PEView
PE header
Podsjetimo se, na kraju MZ headera specificirano je gdje započinje PE header. On je veličine 0x14 bajtova i prepoznaje se po magic bajtovima 0x50 0x45 0x00 0x00 (PE) (označeni na slici 2.1). Unutar PE headera nalaze se informacije o ciljanoj arhitekturi za koju je izvršna datoteka namijenjena (i386, AMD64, MIPS, PowerPC, …), broj sekcija PE datoteke, vremenska oznaka kada je izvršna datoteka kompajlirana, veličina Optional headera i karakteristike koje označavaju atribute datoteke. Neki od primjera atributa su je li datoteka izvršiva, radi li se o dll-u, koristi li se little endian ili big endian, itd.
Sva polja PE headera vidljiva su na slici 3.1.
Slika 3.1 - PE header, alat PEView
Optional header
Odmah nakon PE headera slijedi Optional header koji unatoč svom nazivu nije opcionalan, ako se želi izvršiti datoteka, i ovdje se zapravo nalaze informacije koje loaderu govore kako učitati datoteku u radnu memoriju. Njegova veličina nije fiksna već je zapisana unutar PE headera i započinje bajtovima 0x010B ili 0x020B koji označavaju koristi li se 32 ili 64 bitni adresni prostor.
Važne informacije koje se nalaze unutar Optional headera su:
- adresa početne točke programa
- bazna memorijska adresa (ImageBase) - na tu adresu učita se početak izvršne datoteke
- poravnanje sekcija u memoriji (SectionAlignment)
- poravnanje sekcija u datoteci (FileAlignment)
- verzija operativnog sustava i njegova podverzija (XP, XP SP1, Vista, …)
- veličina zauzetog memorijskog prostora (SizeOfImage)
- veličina zaglavlja u memoriji (SizeOfHeaders)
- broj podatkovnih direktorija (NumberOfDataDirectories)
Nakon toga u datoteci se nalazi navedeni broj podatkovnih direktorija (Data Directories) koji zapravo predstavljaju tablice koje Windows OS koristi za ispravno učitavanje datoteke u radnu memoriju. Za svaki podatkovni direktorij navedena je relativna virtualna adresa početka podatkovnog direktorija i njegova veličina u bajtovima (RVA, Size). Najčešći i najvažniji direktoriji su export, import i resource directory. Resource directory sadrži sve resurse koje PE datoteka koristi (npr. slike, ikone, informacije o verziji i autoru datoteke, prijevodi, itd.), a export i import directory će se detaljnije opisati u nastavku.
Sva polja Optional headera i nekoliko podatkovnih direktorija vidljivi su na slici 4.1.
Slika 4.1 - Optional header, alat PEView
Sections
Odmah nakon Optional headera nalazi se određen broj (naveden unutar PE headera) Section headera. Svaki Section header veličine je 0x28 bajtova i u njemu se nalaze sljedeće informacije o svakoj sekciji:
- ime sekcije - do 8 bajtova, najčešća imena su .text, .data, .rdata, .code
- fizički offset do sekcije u datoteci (PointerToRawData)
- veličina sekcije na disku (SizeOfRawData)
- relativna virtualna adresa (SectionRVA) - adresa sekcije u memoriji
- virtualna veličina (VirtualSize) - veličina sekcije u memoriji
- karakteristike - atributi poput read, write, executable po kojima se određuje može li se iz sekcije čitati, pisati i je li izvršiva
Izgled Section headera vidljiv je na slici 5.1.
Slika 5.1 - Section header, alat PEView
Sekcija (Section) dio je PE datoteke u kojoj se zapravo nalazi pohranjeni izvršni kod datoteke i podaci koji se koriste prilikom njenog izvršavanja, dok se sve važne informacije o sekciji nalaze u odgovarajućem Section headeru. Na primjer, mjesto gdje započinje sekcija u datoteci (offset od početka datoteke) govori nam polje PointerToRawData, dok polje SizeOfRawData govori o veličini te sekcije u datoteci.
Izvršni kod unutar sekcija mora se učitati u radnu memoriju kako bi se datoteka izvršila. Podsjetimo se, operacijski sustav koristi straničenje tako da fizičku radnu memoriju razdijeli na više procesa, a svaki taj proces na raspolaganju prividno ima cijelu radnu memoriju. Relativna virtualna adresa na koju se sekcija učitava izračunava se po formuli:
RVA = FizičkiOffset – PtrToRawData + SectionRVA
Export directory
Export directory najčešće je prisutan u .dll datotekama, a rijetko kad u .exe datotekama. Ovdje se navode funkcije koje su dostupne drugim izvršnim datotekama iz imena i rednog broja da bi ih one mogle importati. Najvažnije informacije koje se nalaze unutar export direktorija su RVA imena dll-a, broja funkcija koje se exportaju i tri tablice:
- adresna tablica - sadrži relativne virtualne adrese na kojima započinju funkcije
- tablica s pokazivačima na imena - abecedno poredana lista relativnih virtualnih adresa prema imenima funkcija
- tablica rednih brojeva (ordinala) - lista vrijednosti od 2 bajta koje služe kao indeks u adresnoj tablici, a redoslijed je isti kao i u tablici pokazivača na imena
Izgled Export direktorija vidljiv je na slici 6.1.
Slika 6.1 - Export directory, alat PEView
Import directory
Import Directory opisuje dodatne ovisnosti koje trebaju programu za izvođenje u obliku skupine biblioteka i njihovih API-a. Svaki je zapis veličine 0x14 bajtova i opisuje jednu biblioteku, listu njenih funkcija koje je potrebno importati i mjesto u datoteci gdje su zapisane relativne virtualne adrese na koje se trebaju spremiti imena tih funkcija ili ordinala koji služe za pristup funkcijama. Korištenjem importa autor ne mora sam implementirati neke Česte funkcije (npr. čitanje i pisanje u datoteku, mrežne funkcije i slično) već preko importa može koristiti te funkcije koje je netko drugi već razvio, a to je najčešće sam Microsoft.
Izgled Import direktorija vidljiv je na slici 7.1.
Slika 7.1 - Import directory, alat PEView
Zaključak
Za ispravno izvršavanje datoteke potrebno je pohranjeni izvršni kod učitati u radnu memoriju. Format PE datoteke omogućuje loaderu da na točno određenim mjestima unutar datoteke pronađe potrebne informacije koje mu govore kako da to učini. Bez tih informacija ili s krivo upisanim informacijama na tim mjestima, Windows operacijski sustav neće znati pokrenuti izvršnu datoteku.