PE 파일헤더와 섹션

PE 파일헤더와 섹션

• .text
  • CPU가 실행하는 명령어인 실행 가능한 코드 포함
• .rdata
  • 임포트와 익스포트 정보 포함, 읽기 전용 데이터 저장
  • idata, .edata 포함 : 임포트, 익스포트 정보 저장
• .data
  • 프로그램의 전역데이터 저장
• .rsrc
  • 아이콘, 이미지, 메뉴, 문자열 등 실행파일에서 사용하는 리소스

 

실행 영역	설명
.text	실행 코드를 담고 있음
.rdata	프로그램 내의 전역에서 접근 가능한 읽기 전용 데이터를 담고 있 음
.data	프로그램을 통해 접근 가능한 전역 데이터를 저장함
idata	존재 시 임포트 함수 정보를 저장하고 있으며, 존재하지 않는다 면 .rdata 섹션 내의 임포트 함수 정보에 저장됨
.edata	존재 시 익스포트 함수 정보를 저장하고 있으며, 존재하지 않는다 면 .rdata 섹션 내의 익스포트 함수 정보에 저장됨
.pdata	64비트 실행 파일에만 존재하며, 예외 처리 정보를 저장함
.rsrc	실행 파일에 필요한 리소스를 저장함
.reloc	라이브러리 파일 재배치 정보를 담고 있음

 

PE 헤더 내 정보

필드	정보
Imports	악성코드가 사용하는 다른 라이브러리
Exports	다른 프로그램이나 라이브러리가 호출할 수 있는 악성코드 내의 함수
Time Data Stamp	프로그램이 컴파일 된 시간
Sections	파일 내의 섹션명과 디스크와 메모리 크기
Subsystem	프로그램이 커맨드라인 기반인지 GUI 기반인지
Resources	파일 내에 포함된 문자열, 아이콘, 메뉴, 기타 정보

 

PeView : PE 파일 점검

• IMAGE_NT_HEADERS > IMAGE_FILE_HEADER에서 확인할 수 있다.

 

---

PEBrowse Professinal

• http://www.smidgeonsoft.prohosting.com/pebrowse-pro-file-viewer.html

PE Explorer

• http://www.heaventools.com/

Resource Hacker

https://angusj.com/resourcehacker/