re-format-pe

PE 格式解析

何时使用 / 何时不用

• 用：目标是 Windows PE 文件（.exe/.dll/.sys），需要理解结构、找壳特征、定位入口/TLS 回调、映射 RVA 与文件偏移
• 不用：ELF（走 [[re-format-elf]]）、Mach-O（走 [[re-format-macho]]）；只需函数逻辑（直接反编译技能）
• 不用：只需快速结论（初勘走 [[re-triage]]）

工具准备

参考 [[platform-tips]] 平台分支——Windows 目标可静态分析免沙箱，动态执行一律沙箱。

objdump（binutils）

• Linux: apt install binutils / dnf install binutils / pacman -S binutils
• macOS: brew install binutils（gobjdump）
• Windows/WSL: WSL 内 Linux 版
• 验证: objdump -V
• 注意: 对 PE 用 objdump -p / objdump -x（readelf 不解析 PE，属非直接工具——只用于对照 ELF 侧知识）

pefile（Python，推荐主力）

• 全平台: pip install pefile（Linux/macOS/Windows/WSL 均可）
• 验证: python3 -c "import pefile; print(pefile.__version__)"

CFF Explorer（Windows GUI）

• Windows: choco install cff-explorer（或从 NTCore 官网下载 Explorer Suite）
• 验证: 启动 CFF Explorer 打开样本，能正常显示 Dos Header/Sections 面板

操作步骤

1. e_lfanew 定位 PE 头：

   objdump -p sample.exe | head -40   # 看 Magic: 0x10b (PE32) / 0x20b (PE32+) 与入口点
   

   import pefile
   pe = pefile.PE('sample.exe')
   print("e_lfanew offset:", hex(pe.DOS_HEADER.e_lfanew))
   print("PE32" if pe.OPTIONAL_HEADER.Magic == 0x10b else "PE32+")
   print("EntryPoint RVA:", hex(pe.OPTIONAL_HEADER.AddressOfEntryPoint))
   

2. 节表与 RVA/文件偏移映射：

   objdump -h sample.exe        # 节名/VMA/文件偏移/大小
   

   import pefile
   pe = pefile.PE('sample.exe')
   for s in pe.sections:
       print(s.Name, "VA:", hex(s.VirtualAddress), "raw:", hex(s.PointerToRawData),
             hex(s.SizeOfRawData), "chars:", hex(s.Characteristics))
   print("RVA->offset:", hex(pe.get_offset_from_rva(0x1000)))   # RVA 转文件偏移
   

   记住: 节内存中的 VirtualAddress 是 RVA，需加 ImageBase 才是 VA；文件偏移由 PointerToRawData 给出。

3. 导入表（IAT 大小异常 = 壳特征）：

   objdump -p sample.exe | grep -A3 -i 'DLL Name'
   

   import pefile
   pe = pefile.PE('sample.exe')
   for entry in pe.DIRECTORY_ENTRY_IMPORT:
       names = [i.name for i in entry.imports if i.name]
       print(entry.dll, "imports:", len(names), names[:5])
   

   • 正常程序导入函数较多；仅 1-2 个 DLL、函数极少（如只有 kernel32 的几个）→ 强烈提示加壳/动态解析