Windows PE权威指南
作 者： 戚利 著
出版时间：2011
内容简介
内容全面，详尽地剖析了WindowsPE文件格式的原理及其编程技术，涉及安全领域的各个方面和Windows系统的进程管理和底层机制；实战性强，以案例驱动的方式讲解了WindowsPE文件格式在加密与解密、软件汉化、逆向工程、反病毒等安全领域的应用，不仅每个知识点都配有小案例，而且还有多个完整的商业案例。 戚利编著的《WindowsPE权威指南》共分为三大部分：第一部分简单介绍了学习本书需要搭建的工作环境和必须具备的工具，深入分析了PE文件头、导入表、导出表、重定位表、资源表、延迟导入表、线程局部存储、加载配置信息等核心技术的概念、原理及其编程方法，有针对性地讲解了程序设计中的重定位、程序堆栈、动态加载等；第二部分讨论了PE头部的变形技术及静态附加补丁的技术，其中静态附加补丁技术重点讲解了如何在空闲空间、间隙、新节、最后一节四种情况下打补丁和进行编码的方法；第三部分精心编写了多个大型而完整的PE应用案例，以PE补丁作为重要手段，通过对目标PE文件实施不同的补丁内容来实现不同的应用，详细展示了EXE捆绑器、软件安装自动化、EXE加锁器、EXE加密、PE病毒提示器以及PE解毒的实现过程和方法。 《WindowsPE权威指南》不仅适合想深入理解Windows系统进程管理和运作机制的读者，而且还适合从事加密与解密、软件汉化、逆向工程、反病毒工作的安全工作者。此外，它还适合想全面了解WindowsPE文件结构和对程序字节码感兴趣的读者。
目录
前言
第一部分 pe的原理和基础
第1章 windows pe 开发环境
1.1 开发语言masm32
1.1.1 设置开发环境
1.1.2 开发第一个源程序helloworld.asm
1.1.3 运行helloworld.exe
1.2 调试软件ollydbg
1.2.1 调试helloworld.exe
1.2.2 修改exe文件字节码
1.3 十六进制编辑软件flexhex
1.4 破解实例：u盘监控器
1.5 初识pe文件
1.6 小结
第2章 三个小工具的编写
2.1 构造基本窗口程序
2.1.1 构造窗口界面
2.1.2 编写相关的资源文件
2.1.3 通用程序框架的实现
.2.2 pedump的实现
2.2.1 编程思路
2.2.2 pedump编码
2.2.3 pedump代码中的数据结构
2.2.4 运行pedump
2.3 pecomp的实现
2.3.1 编程思路
2.3.2 定义资源文件
2.3.3 pecomp编码
2.3.4 运行pecomp
2.4 peinfo的实现
2.4.1 编程思路
2.4.2 peinfo编码
2.4.3 运行peinfo
2.5 小结
第3章 pe文件头
3.1 pe的数据组织方式
3.2 与pe有关的基本概念
3.2.1 地址
3.2.2 指针
3.2.3 数据目录
3.2.4 节
3.2.5 对齐
3.2.6 unicode字符串
3.3 pe文件结构
3.3.1 16位系统下的pe结构
3.3.2 32位系统下的pe结构
3.3.3 程序员眼中的pe结构
3.4 pe文件头部解析
3.4.1 dos mz头image_dos_header
3.4.2 pe头标识signature
3.4.3 标准pe头image_file_header
3.4.4 扩展pe头image_optional_header32
3.4.5 pe头image_nt_headers
3.4.6 数据目录项image_data_directory
3.4.7 节表项image_section_header
3.5 数据结构字段详解
3.5.1 pe头image_nt_header的字段
3.5.2 标准pe头iamge_file_header的字段
3.5.3 扩展pe头image_optional_header32的字段
3.5.4 数据目录项image_data_directory的字段
3.5.5 节表项image_section_header的字段
3.5.6 解析helloworld程序的字节码
3.6 pe内存映像
3.7 pe文件头编程
3.7.1 rva与foa的转换
3.7.2 数据定位
3.7.3 标志位操作
3.7.4 pe校验和
3.8 小结
第4章 导入表
4.1 何谓导入表
4.2 导入函数
4.2.1 invoke指令分解
4.2.2 导入函数地址
4.2.3 导入函数宿主
4.3 pe中的导入表
4.3.1 导入表定位
4.3.2 导入表描述符image_import_descriptor
4.3.3 导入表的双桥结构
4.3.4 导入函数地址表
4.3.5 构造调用同一个dll文件的多个函数的导入表
4.4 导入表编程
4.4.1 导入表遍历的思路
4.4.2 编写函数_getimportinfo
4.4.3 运行测试
4.5 绑定导入
4.5.1 绑定导入机制
4.5.2 绑定导入数据定位
4.5.3 绑定导入数据结构
4.5.4 绑定导入实例分析
4.6 手工重组导入表
4.6.1 常用注册表api
4.6.2 构造目标指令
4.6.3 pe头部变化
4.6.4 手工重组
4.6.5 程序实现
4.6.6 思考：关于iat的连贯性
4.6.7 思考：关于导入表的位置
4.7 小结
第5章 导出表
5.1 导出表的作用
5.1.1 分析动态链接库功能
5.1.2 获得导出函数地址
5.2 构造含导出表的pe文件
5.2.1 dll源代码
5.2.2 编写def文件
5.2.3 编译和链接
5.2.4 编写头文件
5.2.5 使用导出函数
5.3 导出表数据结构
5.3.1 导出表定位
5.3.2 导出目录image_export_directory
5.3.3 导出表实例分析
5.4 导出表编程
5.4.1 根据编号查找函数地址
5.4.2 根据名字查找函数地址
5.4.3 遍历导出表
5.5 导出表的应用
5.5.1 导出函数覆盖
5.5.2 导出私有函数
5.6 小结
第6 章 栈与重定位表
6.1 栈
6.1.1 栈的应用场合
6.1.2 call调用中的栈实例分析
6.1.3 栈溢出
6.2 代码重定位
6.2.1 重定位的提出
6.2.2 实现重定位的方法
6.2.3 重定位编程
6.3 pe文件头中的重定位表
6.3.1 重定位表定位
6.3.2 重定位表项image_base_relocation
6.3.3 重定位表的结构
6.3.4 遍历重定位表
6.3.5 重定位表实例分析
6.4 小结
第7章 资源表
7.1 资源分类
7.1.1 位图、光标、图标资源
7.1.2 菜单资源
7.1.3 对话框资源
7.1.4 自定义资源
7.2 pe资源表组织
7.2.1 资源表的组织方式
7.2.2 资源表数据定位
7.2.3 资源目录头image_resource_directory
7.2.4 资源目录项image_resource_directory_entry
7.2.5 资源数据项image_resource_data_entry
7.2.6 三级结构中目录项的区别
7.3 资源表遍历
7.4 pe资源深度解析
7.4.1 资源脚本
7.4.2 使用peinfo分析资源表
7.4.3 菜单资源解析
7.4.4 图标资源解析
7.4.5 图标组资源解析
7.4.6 对话框资源解析
7.5 资源表编程
7.5.1 更改图标实验
7.5.2 提取程序图标实例
7.5.3 更改程序图标实例
7.6 小结
第8章 延迟加载导入表
8.1 延迟加载导入的概念及其作用
8.1.1 提高应用程序加载速度
8.1.2 提高应用程序兼容性
8.1.3 提高应用程序可整合性
8.2 pe中的延迟加载导入表
8.2.1 延迟加载导入表数据定位
8.2.2 延迟加载导入描述符image_delay_import_descriptor
8.2.3 延迟加载导入表实例分析
8.3 延迟加载导入机制详解
8.4 延迟加载导入编程
8.4.1 修改资源文件pe.rc
8.4.2 修改源代码pe.asm
8.5 关于延迟加载导入的两个问题
8.5.1 异常处理
8.5.2 dll的卸载
8.6 小结
第9章 线程局部存储
9.1 windows进程与线程
9.1.1 windows体系结构
9.1.2 进程与线程创建
9.1.3 进程环境块peb
9.1.4 线程环境块teb
9.2 什么是线程局部存储
9.3 动态线程局部存储
9.3.1 动态tls实例
9.3.2 获取索引tlsalloc
9.3.3 按索引取值tlsgetvalue
9.3.4 按索引存储tlssetvalue
9.3.5 释放索引tlsfree
9.4 静态线程局部存储
9.4.1 tls定位
9.4.2 tls目录结构image_tls_directory32
9.4.3 静态tls实例分析
9.4.4 tls回调函数
9.4.5 测试静态tls下的线程存储初始化回调函数
9.5 小结
第10章 加载配置信息
10.1 何谓加载配置信息
10.2 windows结构化异常处理
10.2.1 什么是seh
10.2.2 windows异常分类
10.2.3 内核模式下的异常处理
10.2.4 用户模式下的异常处理
10.2.5 windows seh机制解析
10.2.6 seh编程实例
10.3 pe中的加载配置信息
10.3.1 加载配置信息定位
10.3.2 加载配置目录image_load_config_directory
10.3.3 加载配置信息实例分析
10.4 加载配置编程
10.4.1 程序源代码分析
10.4.2 为pe添加加载配置信息
10.4.3 运行测试
10.4.4 注册多个异常处理函数示例
10.5 小结
第11章 动态加载技术
11.1 windows虚拟地址空间分配
11.1.1 用户态低2gb空间分配
11.1.2 核心态高2gb空间分配
11.1.3 helloworld进程空间分析
11.2 windows动态库技术
11.2.1 dll静态调用
11.2.2 dll动态调用
11.2.3 导出函数起始地址实例
11.3 在编程中使用动态加载技术
11.3.1 获取kernel32.dll基地址
11.3.2 获取getprocaddress地址
11.3.3 在代码中使用获取的函数地址编程
11.3.4 动态api技术编程实例
11.4 小结
第二部分 pe进阶
第12章 pe变形技术
12.1 变形技术的分类
12.1.1 结构重叠技术
12.1.2 空间调整技术
12.1.3 数据转移技术
12.1.4 数据压缩技术
12.2 变形技术可用的空间
12.2.1 文件头部未用的字段
12.2.2 大小不固定的数据块
12.2.3 因对齐产生的补足空间
12.3 pe文件变形原则
12.3.1 关于数据目录表
12.3.2 关于节表
12.3.3 关于导入表
12.3.4 关于程序数据
12.3.5 关于对齐
12.3.6 几个关注的字段
12.4 将pe变小的实例helloworldpe
12.4.1 源程序helloworld的字节码（2560字节）
12.4.2 目标pe文件的字节码（432字节）
12.5 打造目标pe的步骤
12.5.1 对文件头的处理
12.5.2 对代码段的处理
12.5.3 对导入表的处理
12.5.4 对部分字段值的修正
12.5.5 修改后的文件结构
12.5.6 修改后的文件分析
12.5.7 目标文件更小的实例分析
12.6 小结
第13章 pe补丁技术
13.1 动态补丁
13.1.1 进程间的通信机制
13.1.2 读写进程内存
13.1.3 目标进程枚举
13.1.4 执行远程线程
13.2 静态补丁
13.2.1 整体替换pe文件
13.2.2 整体替换dll文件
13.2.3 部分修改pe文件
13.3 嵌入补丁程序
13.3.1 嵌入补丁程序框架
13.3.2 嵌入补丁程序编写规则
13.3.3 嵌入补丁字节码实例分析
13.4 万能补丁码
13.4.1 原理
13.4.2 源代码
13.4.3 字节码
13.4.4 运行测试
13.5 小结
第14章 在pe空闲空间中插入程序
14.1 什么是 pe空闲空间
14.1.1 pe文件中的可用空间
14.1.2 获取pe文件可用空间的代码
14.1.3 获取pe文件可用空间的测试
14.2 添加注册表启动项的补丁程序实例
14.2.1 补丁程序的源代码
14.2.2 补丁程序的字节码
14.2.3 目标pe的字节码
14.3 手工打造目标pe的步骤
14.3.1 基本思路
14.3.2 对代码段的处理
14.3.3 对导入表的处理
14.3.4 对数据段的处理
14.3.5 修改前后pe文件对比
14.4 开发补丁工具
14.4.1 编程思路
14.4.2 数据结构分析
14.4.3 运行测试
14.4.4 适应性测试实例分析
14.5 小结
第15章 在pe间隙中插入程序
15.1 什么是pe间隙
15.1.1 构造间隙一
15.1.2 间隙一与参数
15.2 插入helloworld的补丁程序实例
15.2.1 补丁程序字节码
15.2.2 目标pe结构
15.3 开发补丁工具
15.3.1 编程思路
15.3.2 数据结构分析
15.3.3 主要代码
15.3.4 运行测试
15.4 存在绑定导入数据的pe补丁程序实例
15.4.1 改进补丁程序
15.4.2 修正补丁工具
15.4.3 为记事本程序打补丁
15.5 小结
第16章 在pe新增节中插入程序
16.1 新增pe节的方法
16.2 在本地建立子目录的补丁程序实例
16.2.1 补丁程序源代码
16.2.2 目标pe结构
16.3 开发补丁工具
16.3.1 编程思路
16.3.2 为变量赋值
16.3.3 构造新文件数据
16.3.4 修正字段参数
16.3.5 主要代码
16.3.6 运行测试
16.4 小结
第17章 在pe最后一节中插入程序
17.1 网络文件下载器补丁程序实例
17.1.1 用到的api函数
17.1.2 补丁功能的预演代码
17.1.3 补丁程序的源代码
17.1.4 目标pe结构
17.2 开发补丁工具
17.2.1 编程思路
17.2.2 主要代码
17.2.3 运行测试
17.3 小结
第三部分 pe的应用案例
第18章 exe捆绑器
18.1 基本思路
18.2 exe执行调度机制
18.2.1 相关api函数
18.2.2 控制进程同步运行实例分析
18.3 字节码转换工具hex2db
18.3.1 hex2db源代码
18.3.2 运行测试
18.4 执行调度程序_host.exe
18.4.1 主要代码
18.4.2 数据结构分析
18.5 宿主程序host.exe
18.5.1 宿主程序的功能
18.5.2 宿主程序的状态
18.5.3 遍历文件
18.5.4 释放文件
18.5.5 宿主程序主函数
18.6 exe捆绑器bind.exe
18.6.1 绑定列表定位
18.6.2 捆绑步骤及主要代码
18.6.3 测试运行
18.7 小结
第19章 软件安装自动化
19.1 基本思路
19.2 补丁程序patch.exe
19.2.1 相关api函数
19.2.2 执行线程函数
19.2.3 简单测试
19.3 消息发送器_message.exe
19.3.1 窗口枚举回调函数
19.3.2 调用窗口枚举函数
19.3.3 向指定窗口发送消息
19.3.4 消息发送器源代码
19.3.5 测试运行
19.4 消息发送器生成工厂messagefactory.exe
19.4.1 消息发送函数
19.4.2 键盘虚拟码
19.4.3 改进的消息发送器实例分析
19.4.4 消息发送器生成工厂代码结构
19.4.5 代码与数据的定位
19.4.6 提取代码字节码
19.5 软件安装自动化主程序autosetup.exe
19.5.1 主要代码
19.5.2 测试运行
19.6 小结
第20章 exe加锁器
20.1 基本思路
20.2 免资源文件的窗口程序nores.asm
20.2.1 窗口创建函数createwindowex
20.2.2 创建用户登录窗口的控件
20.2.3 窗口程序源代码
20.3 免重定位的窗口程序login.asm
20.4 补丁程序patch.asm
20.4.1 获取导入库及函数
20.4.2 按照补丁框架修改login.asm
20.4.3 补丁程序主要代码
20.5 附加补丁运行
20.6 小结
第21章 exe加密
21.1 基本思路
21.2 加密算法
21.2.1 加密算法的分类
21.2.2 自定义可逆加密算法实例
21.2.3 构造加密基表
21.2.4 利用基表测试加密数据
21.3 开发补丁工具
21.3.1 转移数据目录
21.3.2 传递程序参数
21.3.3 加密节区内容
21.4 处理补丁程序
21.4.1 还原数据目录表
21.4.2 解密节区内容
21.4.3 加载目标dll
21.4.4 修正目标iat
21.5 小结
第22章 pe病毒提示器
22.1 基本思路
22.1.1 志愿者的选择条件
22.1.2 判断病毒感染的原理
22.2 手工打造pe病毒提示器
22.2.1 编程思路
22.2.2 分析目标文件的导入表
22.2.3 补丁程序的源代码
22.2.4 补丁程序的字节码
22.2.5 修正函数地址
22.2.6 测试运行
22.3 补丁版的pe病毒提示器
22.3.1 将提示器写入启动项
22.3.2 检测特定位置校验和
22.3.3 测试运行
22.4 小结
第23章 破解pe病毒
23.1 病毒保护技术
23.1.1 花指令
23.1.2 反跟踪技术
23.1.3 反调试技术
23.1.4 自修改技术
23.1.5 注册表项保护技术
23.1.6 进程保护技术
23.2 pe病毒补丁程序解析
23.2.1 病毒特征
23.2.2 补丁程序的源代码分析
23.2.3 病毒传播测试
23.2.4 感染前后pe结构对比
23.3 解毒代码的编写
23.3.1 基本思路
23.3.2 计算病毒代码大小
23.3.3 获取原始入口地址
23.3.4 修正pe头部的其他参数
23.3.5 主要代码
23.3.6 运行测试
23.4 小结
后记
