PE datoteka je izvršna datoteka operacijskog sustava Windows. Uz sam izvršivi kod i podatke sastoji se i od ostalih informacija koje loaderu govore kako učitati datoteku u radnu memoriju da bi se ona ispravno izvršila. Djelovi PE datoteke su MZ header, DOS Stub, PE header, Optional header, Section headers i Sections. Izvršni kod nalazi se u sekcijama, a najbitniji podaci koji govore na koje virtualne adrese se taj kod mora učitati nalaze se u Optional headeru i pripadnom Section headeru. Datoteka također može koristiti i vanjske biblioteke i informacije o potrebnim funkcijama nalaze se u Import direktoriju, a u toj pripadajućoj vanjskoj biblioteci, dll-u, informacije o dostupnim funkcijama nalaze se u Export direktoriju.

PE (Portable Executable) je format izvršnih datoteka u Windows operacijskim sustavima i baziran je na COFF formatu datoteka (Common Object File Format). U PE datoteke spadaju izvršne datoteke .exe, dinamički alocirane biblioteke .dll, kernel moduli .srv i mnoge druge.

PE datoteka sastoji se od podataka koji su potrebni prilikom izvršavanja datoteke i samog izvršnog koda, no taj se izvršni kod treba najprije učitati u radnu memoriju. U tu svrhu, loader parsira PE datoteku, izvuče sve potrebne informacije o tome kako alocirati i smjestiti podatke u memoriju tako da se datoteka može izvršiti na ispravan način. Uz to, datoteka sadrži i informacije o vanjskim bibliotekama koje datoteka zahtjeva da budu učitana za njeno ispravno izvršavanje te informaciju gdje točno počinje samo izvršavanje.

Struktura, koju datoteka mora zadovoljavati, vidljiva je na slici 1.1. PE datoteka započinje MZ headerom nakon čega dolazi DOS Stub, PE header, Optional header, određen broj Section headera i taj isti broj Sectiona. U nastavku će se detaljno razmatrati djelovi PE datoteke i koje se informacije nalaze u tom djelu.

Slika 1.1 - struktura PE datoteke

PE datoteku možemo prepoznati po prva dva bajta u datoteci, takozvani magic bajtovi. Oni iznose 0x4D 0x5A (MZ) i to je ujedno i početak MZ headera koji je veličine 0x40 bajtova. Najvažnija informacija koju MZ header sadrži, e_lfanew, nalazi se na offsetu 0x3C. Tu je unutar 4 bajta zapisano mjesto (offset od početka datoteke) na kojem započinje PE header.

Odmah nakon MZ headera slijedi DOS Stub i prepoznaje se po poruci “This program cannot be run in DOS mode”. Ta poruka će se ispisati ako se pokrene u MS DOS-u kao znak da nije kompatibilno s MS-DOSom. Windows operacijski sustav će iskoristiti e_lfanew na kraju MZ headera i prilikom ispravnog izvršavanja preskočit će DOS Stub koji postoji samo radi kompatibilnosti.

Na slici 2.1 vidljivo je kako izgleda početak PE datoteke, odnosno vidljivi su MZ header s označenim bitnim poljima i DOS Stub.

Slika 2.1 - MZ header i DOS Stub, alat PEView

Podsjetimo se, na kraju MZ headera specificirano je gdje započinje PE header. On je veličine 0x14 bajtova i prepoznaje se po magic bajtovima 0x50 0x45 0x00 0x00 (PE). Unutar PE headera nalaze se informacije o ciljanoj arhitekturi za koju je izvršna datoteka namjenjena (i386, AMD64, MIPS, PowerPC, …), broj sekcija PE datoteke, vremenska oznaka kada je izvršna datoteka kompajlirana, veličina Optional headera i karakteristike koje označavaju atribute datoteke. Neki od primjera atributa su je li datoteka izvršiva, radi li se o dll-u, koristi li se little endian ili big endian, itd.

Sva polja PE header vidljiva su na slici 3.1.

Slika 3.1 - PE header, alat PEView

Odmah nakon PE headera slijedi Optional header koji unatoč svom nazivu nije opcionalan ukoliko se želi izvršiti datoteka i ovdje se zapravo nalaze informacije koje loaderu govore kako učitati datoteku u radnu memoriju. Njegova veličini nije fiksna već je zapisana unutar PE headera i započinje bajtovima 0x010B ili 0x020B koji označavaju koristi li se 32 ili 64 bitni adresni prostor.

Bitne informacije koje se nalaze unutar Optional headera su:

• adresa početne točke programa
• bazna memorijska adresa (ImageBase) - na tu adresu se učita početak izvršne datoteke
• poravnanje sekcija u memoriji (SectionAlignment)
• poravnanje sekcija u datoteci (FileAlignment)
• verzija operativnog sustava i njegova podverzija (XP, XP SP1, Vista, …)
• veličina zauzetog memorijskog prostora (SizeOfImage)
• veličina zaglavlja u memoriji (SizeOfHeaders)
• broj podatkovnih direktorija (NumberOfDataDirectories)

Nakon toga u datoteci se nalazi navedeni broj podatkovnih direktorija (Data Directories) koji zapravo predstavljaju tablice koje Windows OS koristi za ispravno učitavanje datoteke u radnu memoriju. Za svaki podatkovni direktorij navedena je relativna virtualna adresa početka podatkovnog direktorija i njegova veličina u bajtovima (RVA, Size). Najčešći i najvažniji direktoriji su export, import i resource directory. Resource directory sadrži sve resurse koje PE datoteka koristi (npr. slike, ikone, informacije o verziji i autoru datoteke, prijevodi, …), a export i import directory će se detaljnije opisati u nastavku.

Sva polje Optional headera vidljiva su na slici 4.1.

Slika 4.1 - Optional header, alat PEView

Odmah nakon Optional headera nalazi se određen broj (navedeno unutar PE headera) Section headera. Svaki Section header je veličine 0x28 bajtova i u njemu se nalaze sljedeće informacije o svakoj sekciji:

• ime sekcije - do 8 bajtova, najčešća imena su .text, .data, .rdata, .code
• fizički offset do sekcije u datoteci (PointerToRawData)
• veličina sekcije na disku (SizeOfRawData)
• relativna virtualna adresa (SectionRVA) - adresa sekcije u memoriji
• virtualna veličina (VirtualSize) - veličina sekcije u memoriji
• karakteristike - atributi poput read, write, executable po kojima se određuje može li se iz sekcije čitati, pisati i je li izvršiva

Sekcija (Section) je dio PE datoteke u kojoj se zapravo nalazi pohranjeni izvršni kod datoteke i podaci koji se koriste prilikom njenog izvršavanja dok se sve bitne informacije o sekciji nalaze u odgovarajućem Section headeru. Na primjer, mjesto gdje započinje sekcija u datoteci (offset od početka datoteke) govori nam polje PointerToRawData dok polje SizeOfRawData govori o veličini te sekcije u datoteci.

Izvršni kod unutar sekcija mora se učitati u radnu memoriju kako bi se datoteka izvršila. Podsjetimo se, operacijski sustav koristi straničenje tako da fizičku radnu memoriju razdjeli na više procesa, a svaki taj proces na raspolaganju prividno ima cijelu radnu memoriju. Relativna virtualna adresa na koju se sekcija učitava izračuna se po formuli:

             RVA = FizičkiOffset – PtrToRawData + SectionRVA

Export directory je najčešće prisutan u .dll datotekama, rijetko kad u .exe datotekama. Ovdje se navode funkcije koje postaju dostupne preko imena i rednog broja drugim izvršnim datotekama kako bi ih one mogle importati. Najvažnije informacije koje se nalaze unutar export direktorija su RVA imena dll-a, broja funkcija koje se exportaju i tri tablice:

• adresna tablica - sadrži relativne virtualne adrese na kojima započinju funkcije
• tablica s pokazivačima na imena - abecedno poredana lista relativnih virtualnih adresa prema imenima funkcija
• tablica rednih brojeva (ordinala) - lista vrijednosti od 2 bajta koje služe kao indeks u adresnu tablicu, redoslijed isti kao i u tablici pokazivača na imena

Import Directory opisuje dodatne ovisnosti koje trebaju programu za izvođenje u obliku skupine biblioteka i njihovih API-a. Svaki zapis je veličine 0x14 bajtova, opisuje jednu biblioteku, listu njenih funkcija koje je potrebno importati i mjesto u datoteci gdje su zapisane relativne virtualne adrese na koje se trebaju spremiti imena tih funkcija ili ordinala koji služe za pristup funkcijama. Korištenjem importa autor ne mora sam implementirat neke Česte stvari (npr. čitanje i pisanje u datoteku, mrežne funkcije i slično) već preko importa može koristiti te funkcije koje je netko drugi već razvio, a to je najčešće sam Microsoft.

Za ispravno izvršavanje datoteke potrebno je pohranjeni izvršni kod učitati u radnu memoriju. Format PE datoteke omogućuje loaderu da na točno određenim mjestima unutar datoteke pronađe potrebne informacije koje mu govore kako da to učini. Bez tih informacija ili sa krivo upisanim informacijama na tim mjestima, Windows operacijski sustav neće znati pokrenuti izvršnu datoteku.

[1] https://learn.microsoft.com/en-us/windows/win32/debug/pe-format

[2] https://courses.cs.washington.edu/courses/cse378/03wi/lectures/LinkerFiles/coff.pdf