予期しない出力

Question

次のコードは、指定されたexe（この場合はc：\ linked list.exe）内のすべてのセクションの名前を出力するはずですが、奇妙な出力を生成します。

#include<iostream> 
#include<Windows.h> 
#include<stdio.h> 
#include<WinNT.h> 

int main() 
{ 
    FILE *fp; 
    int i; 

    if((fp = fopen("c:\\Linked List.exe","rb"))==NULL) 
     std::cout<<"unable to open"; 


    IMAGE_DOS_HEADER imdh; 
    fread(&imdh,sizeof(imdh),1,fp); 


    IMAGE_NT_HEADERS imnth; 
    fread(&imnth,sizeof(imnth),1,fp); 

    IMAGE_SECTION_HEADER *pimsh; 
    pimsh = (IMAGE_SECTION_HEADER *)malloc(sizeof(IMAGE_SECTION_HEADER) * imnth.FileHeader.NumberOfSections); 

    fread(pimsh,sizeof(IMAGE_SECTION_HEADER),imnth.FileHeader.NumberOfSections,fp); 

    for(i=0;i<imnth.FileHeader.NumberOfSections;i++) 
    { 
     printf("%s\n",pimsh->Name); 
     pimsh++; 
    } 

} 

Answer 1

あなたのコードの問題は、あなたが正しい場所のIMAGE_NT_HEADERSカルコゲノフルバレン骨格を読んでいないされている、あなたはfseek(fp, imdh.e_lfanew, 0);を使用してimdh.e_lfanewの値にファイルのオフセット、その後IMAGE_NT_HEADERSレコードを読み取るを設定する必要があります。

この変更されたコードを試してください。

#include "stdafx.h" 
#include<iostream> 
#include<Windows.h> 
#include<stdio.h> 
#include<WinNT.h> 

int main() 
{ 
    FILE *fp; 
    int i; 

    if((fp = fopen("c:\\Linked List.exe","rb"))==NULL) 
     std::cout<<"unable to open"; 

    IMAGE_DOS_HEADER imdh; 
    fread(&imdh,sizeof(imdh),1,fp); 

    //set the pointer of the file to the location of the IMAGE_NT_HEADERS record 
    fseek(fp, imdh.e_lfanew, 0); 
    IMAGE_NT_HEADERS imnth; 
    fread(&imnth,sizeof(imnth),1,fp); 

    IMAGE_SECTION_HEADER *pimsh; 
    pimsh = (IMAGE_SECTION_HEADER *)malloc(sizeof(IMAGE_SECTION_HEADER) * imnth.FileHeader.NumberOfSections); 

    fread(pimsh,sizeof(IMAGE_SECTION_HEADER),imnth.FileHeader.NumberOfSections,fp); 

    for(i=0;i<imnth.FileHeader.NumberOfSections;i++) 
    { 
     printf("%s\n",pimsh->Name); 
     pimsh++; 
    } 

    getchar(); 
} 

PEフォーマットについてのこれらの記事も参照してください。

• An In-Depth Look into the Win32 Portable Executable File Format
• Peering Inside the PE: A Tour of the Win32 Portable Executable File Format

Answer 2

はい、画像からDOSスタブを除去することが可能です。このスタブが存在する場合、Windowsローダーはそれを無視します。このスタブが存在しない場合、Windowsローダーはそれに満足しています。