..: Мимикрия :..Покровительственная окраска и форма у животных, при которых они похожи на предметы окружающей среды, растения, на несъедобных или хищных особей. Способствует сохранению в борьбе за существование…

Формат исполняемых файлов Portable Executables (PE) существует уже очень долго, даже в архитектуру Windows 3.11 была заложена возможность запуска подобных файлов при установленном Win32s. Формат файла достаточно прост, но, тем не менее, в нем есть множество подводных камней, из-за которых некоторые программы умирают, а некоторые программисты пользуются ими в своих целях. Здесь кратко описывалось перемещение точки входа в программу для защиты от антивируса на свободное место в файле. Теперь мы рассмотрим подробно, как появилось это место, и что еще можно придумать с исполняемым файлом.

Для данного примера нам потребуются следующие программы:

• HEX-редактор (в моем случае FlexHex)
• Компилятор Borland C++ Builder 6.0

Все эти средства общедоступны в Интернете, желательно скачать самые последние версии.

Начнем с огромного количества скучной, но важной теории.

Формат EXE-файла, показанный в таблице, отражает его достаточно сильную структурированность:

Для запуска файл должен быть в формате PE, минимально необходимо для этого, чтобы он был: во-первых EXE (байты по смещению 0h равны 5A4Dh – “MZ“), во-вторых, слово по смещению 18h должно быть >=40h, тогда и только тогда поле смещения PE Header по адресу 3Ch имеет смысл.

Для нахождения заголовка PE в файле воспользуемся полем Offset to PE Header, находящемуся по смещению 3Ch от начала файла.
Слова DWord и Word, обозначающие тип данных, имеют размеры 4 и 2 байта соответственно.

Формат PE-заголовка представлен в следующей таблице:

При этом VA - виртуальный адрес, который уже базирован на смещении Image Base, RVA - относительный адрес, ссылающийся на Image Base. RVA в PE Header, имеющий нулевое значение, указывает на то, что соответствующее поле не используется.

Сразу за заголовком в файле располагается таблица объектов. Число входов в таблице объектов (секций) определяется полем Num of Objects заголовка PE Header. Последовательность секций кода и данных в памяти выбирается линкером. Каждая секция (объект) располагает именем, которое никого ни к чему не обязывает, имя может быть произвольным, но вообще-то смысл содержания секции и ее наименования как правило совпадают.

Структура таблицы объектов показана в следующей таблице:

Примеры стандартных названий секций Object Name:

• .text - исполняемый код Microsoft
• CODE - исполняемый код Borland
• .data - секция данных Microsoft
• DATA - секция данных Borland
• .bss - неинициализированные данные
• .CRT - инициализированные данные Borland C/C++
• .rsrc - ресурсы
• .idata - секция импорта
• .edata - секция экспорта
• .reloc - таблица настроек
• .tls - данные, на базе которых Windows запускает цепочки
• .rdata - отладочная информация

При этом следует отметить, что практически все упаковщики и крипторы исполняемых файлов создают свои секции, у многих из них также стандартные имена, например UPX0, .decode, pec1 и т.д.

Пример заголовка программы “Калькулятор” с указанием всех элементов представлен на рисунке. Здесь можно скачать архив с полной BMP-версией [23kb].

На данном фрагменте легко прослеживаются попытки Microsoft все выровнять, выстроить и структурировать. Вследствие этого существует достаточно много способов заражения (в данном контексте – записи своего кода в код существующей программы без потери ее работоспособности) файлов формата PE, основные три из них:

• внедрение в пустое пространство;
• расширение последней секции;
• добавление новой секции;

Рассмотрим подробно способ внедрения в пустое пространство

В некоторых других статьях этот метод называется внедрением в заголовок, хотя это не совсем так. Классическим примером использования является вирус Win95.CiH (Чернобыль).
Откуда же берется это пустое пространство?

Участок, помеченный на рисунке красным цветом, находится между последним элементом таблицы объектов и смещением первой секции. А появился он в результате выравнивания, за которое отвечает поле File Align по смещению 3Ch в заголовке.
Чтобы получить “координаты” и размер указанной области необходимо знать:
a- Размер PE-заголовка (обычно F8h, но лучше NT Header Size+18h, значение берется из PE Header)
b- Смещение PE-заголовка (поле Offset To PE header по смещению 3Ch от начала файла, содержит DWord)
c- Размер таблицы объектов (значение поля Num of Objects по смещению 06h из PE Header умножаем на размер объекта, т.е. на 40)
d- Физическое смещение первой секции (значение Physical Offset по смещению 14h из таблицы объектов для первого элемента).

Таким образом, началом пустой области у нас будет место в файле с физическим смещением a+b+c, а концом – место в файле со смещением d, соответственно размер области равен d-(a+b+c)

Попробуем получить это значение для какого-нибудь файла (сразу оговорюсь, с “Калькулятором” это не пройдет из-за оптимизации расположения импорта).

Следует сразу оговориться, что размер этой области не резиновый, поэтому кусок внедряемого кода очень ограничен. Приступим к программированию

Создаем новый проект в Builder, пишем несколько строчек кода, компилируем и берем полученный EXE файл на исследование. Можно взять любой другой не сжатый и не оптимизированный EXE файл. Builder можно не закрывать, программировать еще будем

После открытия файла считываем из него значение смещения PE заголовка (PEHeaderOffset), это DWord по смещению 3Ch.

На рисунке показано это значение в Hex-редакторе, оно равно 0200h (вспоминаем про порядок расположения байтов).

Так и есть, по адресу 0200h наблюдаем начало PE заголовка. Создаем для него структуру:

На рисунке отмечены необходимые нам поля: синее – количество элементов в таблице объектов; красное – размер заголовка от поля Magic, зеленое – RVA точки входа в программу.

Выяснив количество элементов (NumObjects) можно рассчитать размер таблицы объектов. В данном случае по смещению 06h от начала заголовка у нас находится число 8, таким образом размер таблицы составляет 8*40=320 байт.

К этому моменту мы уже нашли 3 необходимые нам переменные:

a = F8h (получаем как поле NTheaderSize+18h, у нас NTheaderSize=E0h)
b = 200h (получили из PEheaderOffset)
c = 140h (рассчитали из количества объектов NumObjects*40)

Осталось найти последний элемент, а именно физический адрес смещения первой секции в файле. Для этого мы используем структуру элемента таблицы объектов, а конкретно ее поле PhysicalOffset.

Считываем значения в созданную структуру, получаем, физическое смещение первой секции равное 0600h.

Чтобы не запутываться дальше, посмотрим текст программы, который производит все необходимые операции.

В данном случае мы считали PE заголовок, нашли количество объектов и создали динамический массив структур элементов таблицы объектов. Также мы нашли начало таблицы объектов на основании того, что она следует сразу за заголовком.
Считываем все элементы таблицы объектов в созданный массив структур и находим физическое смещение первой секции. После этого вычисляем начало пустого пространства как сумму размера всех заголовков и размера таблицы объектов. Концом пустого пространства является начало 1-й секции, разница между ними и будет размером.

В данном случае началом у нас является сумма Смещение заголовка PE (200h) + размер заголовка (F8h)+ размер таблицы объектов (140h)= 438h
Конец пустой области = 600h
Разница: 1C8h

Проверим, так ли это. Открываем файл в Hex-редакторе и идем к смещению 438h.

Так и есть, на этом месте заканчивается таблица объектов описанием последней секции .reloc и начинается пустое место, заполненное нулями вплоть до адреса 600h. Таким образом, мы получили 456 байт неиспользуемого пространства в файле, которое можно занять под свои нужды.

А дальше можно попробовать несколько вариантов: поменять точку входа (обозначена зеленым цветом на иллюстрации PE заголовка) на этот кусок, как мы уже делали в этом примере, или сделать еще хитрее – по адресу точки входа поставить jmp на эту область, не меняя точки входа. Но это уже дело фантазии. В заключение хочется сказать бессмертную фразу: не пишите вирусы и трояны, они не делают мир лучше!

Статья основана на труде Sars/HiTech, взятого с http://wasm.ru, а также описании Hard Wisdom’а, которое выложено в библиотеке. Его я настоятельно рекомендую скачать и изучить, потому что последующие примеры будут также основаны на нем.