[SESSION] 2. PE파일

PE파일 개요

PE파일이란?

• 윈도우 운영체제에서 사용되는 실행파일 형식
• 그냥 PE파일은 32bit, 64bit 형태의 실행파일은 PE+, PE32+로 불린다.
• OBJ 파일을 제외하고 모두 실행 가능한 파일
• DLL, SYS 같은 파일은 셸에서 직접 실행할 순 없지만 서비스, 디버거 같은 방법으로 실행 가능하다.

구분	종류
실행 계열	EXE, SCR
라이브러리 계열	DLL, OCX, CPL, DRV
드라이버 계열	SYS, VXD
오브젝트 파일 계열	OBJ

---

PE파일 개요

• PE파일의 헤더 부분에는 PE파일이 실행되기 위해 필요한 모든 정보가 적혀있다.
• 메모리에 어떻게 적재되는지, 어디서부터 실행될지, 실행에는 어떤 DLL이 필요하고, 필요한 스택, 힙 메모리의 크기가 얼마인지 등이 PE 헤더에 구조체 형식으로 저장되어 있음
• 동적 라이브러리 정보, API 익스포트 및 임포트 정보, 실행을 위한 코드, 실행에 필요한 리소스 정보 등을 구조화하고 관리하는 방법을 정의하고 있음
• PE파일 포맷을 공부한다 = 인공지능 주요 feature로 사용될 PE헤더 구조체를 공부한다
• Feature: 머신러닝에 사용되는 개별적인 독립변수.
  • feature는 우리가 악성코드인지 아닌지를 가리는 인공지능이 악성코드인지 판별할 때 사용할 정보, 혹은 거기에 도움이 되는 정보
• 구조체: 하나 이상의 변수(포인터 변수, 배열 포함)를 하나로 묶을 수 있는 복합 자료형으로 사용자 정의 자료형이라고도 불림

---

PE의 기본 구조

PE헤더와 PE바디로 나뉨

• DOS header부터 Section header까지를 PE 헤더라고 하고 그 밑의 섹션을 합쳐서 PE 바디라고 부른다.
• 위치를 표현하는 방법이 파일과 메모리가 다르다
  • 파일 = offset
  • 메모리 = 주소(절대주소)
• 파일을 사용할 때는 파일을 메모리에 로딩시켜서 CPU 자원을 할당한다. 이때 파일이 메모리에 로딩되면 모양(섹션 크기, 위치 등)이 달라짐.
• 파일 내용은 보통 코드(.txt로 된 섹션), 데이터(.data), 리소스(.rsrc) 섹션으로 나뉘어서 저장되고 섹션과 속성이 유사한 데이터들이 포함되어 있다고 보면 된다.
• 섹션 유형이나 개수, 크기는 개발 도구와 빌드 옵션에 따라 달라지고, 중요한 건 각 용도별로 섹션이 여러 개 나뉘어서 저장된다는 것이다.

---

• 컴퓨터에서 파일, 메모리, 네트워크 패킷 같은 걸 처리할 때 최소 기본 단위 개념을 사용함
• 파일/메모리에서 섹션의 시작 위치는 각 파일 메모리의 최소 기본 단위의 배수에 해당한다.
  • 그래서 시작주소가 배수로 딱딱 끊어지는 걸 확인할 수 있다.
• 파일과 메모리의 파일 할당(alignment)이 다를 경우, 디스크상에서와 메모리상에서 사이즈가 조금씩 달라지기 때문에 이 빈 공간을 NULL로 채워버린다.
  • 즉, null공간으로 크기를 조절한다.
• 주소 할당 방식이 다른 이유는?
  • 메모리는 VA를 활용하고, PE는 RVA를 활용한 경우가 많음.
  • 이렇게 하는 이유는 만약 프로그램을 메모리로 옮기는 데 그 위치에 다른 프로그램이 이미 있을 경우, 다른 자리를 찾아야 하는데 자리를 변경 안 하면 정상적 실행 불가
  • 따라서, Relocation이 가능한 RVA로 프로그램을 운영해야 한다. 
  • 기준위치는 변해도 기준 위치에 대한 상대적 주소는 변하지 않기 때문에, 아무 문제없이 원하는 정보에 액세스 가능
  • VA(Virtual Address): 프로세스 가상 메모리의 절대주소
  • RVA(Relative Virtual Address(offset)): 어느 기준 위치(ImageBase)에서부터의 상대주소

---

 DOS HEADER

• Microsoft가 pe포맷을 개발할 때, 당시 쓰이던 DOS 파일에 대한 하위호환성을 좋게 설계함
• 따라서 PE헤더의 제일 앞부분은 기존 DOS EXE header를 확장한 'IMAGE DOS HEADER'로 만듦
  • IMAGE DOS HEADER = 기존 DOS EXE HEADER의 확장
• 여기서 제일 중요한 멤버는 e_magic과 e_ifanew
• 모든 파일은 시작 부분(e_magic)에 DOS signature("MZ", 마이크로소프트에서 DOS 실행파일을 설계한 주비코브스키의 영문 이니셜)가 존재한다.
• 그리고 e_lfanew 값이 가리키는 위치에 NT header 구조체가 존재해야 한다.

---

DOS Header & DOS stub

• 시작 부분에 e-magic("MZ")이 있고 헤더의 끝부분에 00 00 00 E0으로 e-lfanew가 설정되어 있는 걸 볼 수 있다.
  • NT header 구조체가 0x00 00 00 E0에 존재한다는 뜻
• DOS Stub은 헤더 바로 밑에 존재하는 부분인데, 없어도 파일 실행에는 문제가 없다.
• 윈도우에서 40~4D 영역까지, 즉 DOS Stub 첫 줄 21까지는 16비트 어셈블리 명령어
• 윈도우에서는 아예 이쪽 코드를 무시(32비트 기도 하고, PE에서는 실행 안됨), 근데 DOS 디버거로 실행하면 저 코드가 실행되며 저 문장이 출력되는 구조

---

DOS STUB - Rich Header

• Rich Header는 DOS Stub 부분에 담겨져 있고 컴파일러나 링커 정보가 담겨있음.
• 실행파일의 악성 유무를 판단할 때는 사용하지 않으나, 컴파일러나 링커를 통해 공격그룹을 분류할 수 있음
• Rich identifier 이전까지의 부분을 checksum과 XOR 연산 시 여러 정보를 얻을 수 있음

https://wogh8732.tistory.com/212

Rich header 구조

 https://swpose.tistory.com/4

About Rich Header

---

NT HEADER

• 본격적인 PE Header로 PE Header는 IMAGE_NT_HEADER 구조로 이루어져 있고, 총 3개의 멤버로 되어 있다.
  • 시그니처
  • File Header
  • Optional Header
• 시그니처는 "PE00"으로 시작하는 4바이트 길이의 문자열

---

NT HEADER(File Header)

 

1. Machine

• CPU별로 고유한 값을 가지고 Intel 386 호환 칩은 014c의 값이다.
• 리틀 앤디안 방식: 저장할 때 하위 바이트, 즉 작은 쪽을 먼저 저장하는 방식
• 컴퓨터에 int형 4바이트 데이터 0x01 02 03 04를 저장한다고 생각하면, 리틀 앤디안 방식으로는 메모리에 04 03 02 01 순으로 저장된다.
• Intel 기반 윈도우는 리틀 앤디안 방식을 사용하고 바꾸서 4C 01 이렇게 되어있다.
• 그러므로, Intel 386 호환 칩에 맞는 프로그램이다.

 

2. NumberOfSections

섹션의 개수를 나타내는 부분

 

3. SizeOfOptionalHeader

• IMAGE_NT_HEADERS의 마지막 멤버인 IMAFE_OPTIONAL_HEADER 구조체의 크기를 나타내는 부분
• PE파일은 코드, 데이터, 리소스 같은 것들이 각각 섹션에 나뉘어서 저장되는데 이 부분은 그 섹션이 몇 개인지 나타내는 부분
• 이 부분은 0보다 커야 하고 정의된 섹션 개수랑 실제 섹션 개수가 다르면 에러가 난다.
  • 0보다 작으면 실행이 안됨, 섹션이 없는 것
  • 혹은 정의된 섹션 개수가 실제 섹션 개수보다 적으면 뒷부분 섹션이 인식되지 않기도 함
• SizeOfOptionalHeader의 경우는 optional header의 크기를 명시하는 부분인데, 32비트 파일인지, 64비트 파일인지를 표시하기 위해 사용되는 부분

4. Characteristics

• 파일의 속성을 나타내는 값. 
• 실행이 가능한지, DLL 파일인지 등의 정보들이 bit OR 형식으로 저장됨
• DLL이나 OBJ 파일처럼 셸에서 실행이 되지 않고 서비스나 디버거로 실행하는 경우
  • 0002h, 즉 IMAGE_FILE_EXECUTABLE이 없는 경우가 있을 수 있음
• TIMESTAMP라는 멤버는 해당 파일이 빌드된 시간을 나타내는 값이고, 파일 실행에 영향을 미치지 않음
• 실제 침해사고에서 파일의 생성시점이나 침투시점으로 시간을 추적할 때는 사용될 수 있지만, 인공지능 제작에는 별달리 feature로 사용되지 않음

---

• Machine: 4byte → 01 4C(32bit Intel 386 호환 칩)
• NumberOfsctions: 4byte → 00 03(3개)
• Timestamp: 8byte → 41 10 7C C3
• Offset to Symbol table: 8byte → 00 00 00 00
• Number of Symbols: 8byte → 00 00 00 00
• Size of Optional Header: 4byte → 00 E0
• Characheristics: 4byte → 01 0F
  • IMAGE_FILE_RELOCS_STRIPPED  0x0001
  • IMAGE_FILE_EXECUTABLE_IMAGE  0x0002
  • IMAGE_FILE_LINE_NUMS_STRIPPED  0x0004
  • IMAGE_FILE_LOCAL_SYMS_STRIPPED  0x0008
  • IMAGE_FILE_32BIT_MACHINE  0x0100
  • → 1+2+4+8+=15 (16진수 변환 시 0F로 변환됨)

---

NT HEADER(Optional Header)

절대주소와 크기

• Magic 넘버는 32비트는 10B의 값을, 64비트는 20B의 값을 가짐
• AddressOfEntryPoint의 경우, EP의 RVA(상대주소)를 나타낸 건데, EP는 프로그램에서 최초로 실행되는 코드의 시작 주소임.
  • 따라서, 프로그램의 시작점으로 매우 중요한 값

---

• EXE, DLL 파일은 user memory 영역인 0~7FFFFFFF 범위에 로딩
• SYS는 커널 메모리 영역인 80000000~FFFFFFFF 범위에 로딩
• PE 로더는 PE파일을 로딩할 때, 프로세스를 생성하고 파일을 메모리에 로딩한 다음 EIP 레지스터 값을 ImageBase+AddressOfEntryPoint 값으로 세팅함
• ImageBase는 PE파일이 메모리에서 로딩되는 시작 주소를 나타냄
  • 일반적인 개발도구가 만든 exe 파일의 ImageBase는 00400000이고, DLL은 10000000 임.
• EIP 레지스터: Extended Insturction Pointer
  • CPU가 처리할 명령의 주소를 나타냄
  • 다음엔 어딜 가서 뭘 하지?를 나타내는 레지스터
  • 해당 PE가 시작되도록 CPU의 다음 처리지점을 PE파일의 시작점으로 옮겨주는 것

---

• 파일에서 섹션의 최소단위를 나타내는 건 FileAlignment
• 메모리에서 섹션의 최소단위를 나타내는 건 SectionAlignment
• 두 값은 같을 수도, 다를 수도 있으며 파일/메모리의 섹션 크기는 반드시 FileAlignment / SectionAlignment의 배수여야 함

---

• SizeOfImage: PE 파일이 메모리에 로딩되었을 때 가상 메모리에서 PE Image가 차지하는 크기
  • 일반적으로 파일 크기(size)와 PE 이미지가 메모리에 로딩된 크기(SizeOfImage)는 다름
• SizeOfHeaders: PE 헤더의 전체 크기, FileAlignment의 배수
  • 파일 시작지점에서 SizeOfHeader의 길이만큼 떨어진 지점에 첫 번째 섹션이 위치함
  • 헤더 다음에 섹션이 나온다는 걸 생각해 보면 됨

• Subsystem: 이 subsystem의 값으로 시스템 드라이버 파일(.sys)인지 일반 실행 파일(.exe, .dll)인지 구분 가능
  • 표는 sybsystem 값에 따라 구분되는 것들
    • 1이면 시스템 드라이버와 같은 sys파일
    • 2면 메모장 같은 창 기반 애플리케이션
    • 3이면 cmd 같은 콘솔 기반 애플리케이션
• NumberOfRvaAndSizes: 바로 다음 멤버인 DataDirectory 배열의 개수를 나타냄
  • 맨 위에 Define으로 개수가 16으로 정의되어 있지만, 로더는 이 변수로 배열 크기를 인식함.

---

 

• DataDirectory: IMAGE_DATA_DIRECTORY 구조체의 배열
  • 배열의 각 항목마다 정의된 값을 가짐
  • 여기서 EXPORT, IMPORT, RESOURCE, TLS Directory가 중요한데, 그중에서도 EXPORT, IMPORT DIRECTORY가 특히 중요하다!

---