Formato PE (Portable Executable) - Historial de revisiones

Elizabethjccmg en 15:02 22 jun 2011

2011-06-22T15:02:52Z

Fachsjccmg: /* Estructura PE */

2011-06-13T19:30:54Z

‎Estructura PE

Aniano pedagogico.vcl en 20:27 1 feb 2011

2011-02-01T20:27:04Z

Aniano pedagogico.vcl en 20:15 1 feb 2011

2011-02-01T20:15:19Z

Maarus en 02:33 29 sep 2010

2010-09-29T02:33:41Z

Mostrar los cambios

Guanajay1 jc: /* Enlaces Externos */

2010-09-27T15:54:01Z

‎Enlaces Externos

Guanajay1 jc: /* Enlaces Internos */

2010-09-27T15:51:55Z

‎Enlaces Internos

Guanajay1 jc: /* Fuentes */

2010-09-27T15:49:54Z

‎Fuentes

Guanajay1 jc: /* Estructura PE */

2010-09-27T15:47:47Z

‎Estructura PE

Mostrar los cambios

Guanajay1 jc: /* Introducción */

2010-09-27T15:35:24Z

‎Introducción

@@ Línea 5: / Línea 5: @@
 -Cuando se habla de memoria virtual, se refiere al bloque de memoria que asigna el Sistema Operativo en la Ram para trabajar con el programa. La direccion virtual no hace referencia a la direccion real de la memoria ram, solo a un bloque que el programa esta usando de ella. En win32 los programas pueden manejar direcciones de memoria de 0 a 232, esto no quiere decir que en memoria se cargue 4 GB, solo que el programa puede manejar direcciones de ese tamaño (0x00000000 - 0xFFFFFFFF).
--Cuando se habla de direcciones, no siempre se refiere a la memoria, sino tambien a la posicion de los datos en el archivo. O sea, cuando se habla de direcciones en memoria, seran "direcciones virtuales", y cuando se habla de direcciones en el archivo, serán "direcciones físicas".
+-Cuando se habla de direcciones, no siempre se refiere a la memoria, sino tambien a la posición de los datos en el archivo. O sea, cuando se habla de direcciones en memoria, seran "direcciones virtuales", y cuando se habla de direcciones en el archivo, serán "direcciones físicas".
 == Estructura PE  ==
@@ Línea 42: / Línea 42: @@
 *Los datos extra, serian aquellos que no esten contemplados por la estructura del ejectuable, es decir, no pertenezcan a ninguna sección. Estos solo son apilados al final y quien entiende la estructura de esos datos es el programa.
-Los primeros 2 bytes de la cabecera, corresponden a las letras "PE", asi a simple vista, con un editor hexadecimal, mirando el offset PE y yendo a la posicion, rapidamente encontramos el comienzo de la cabecera.
+Los primeros 2 bytes de la cabecera, corresponden a las letras "PE", asi a simple vista, con un editor hexadecimal, mirando el offset PE y yendo a la posición, rapidamente encontramos el comienzo de la cabecera.
 '''Machine (offset + 0x04)''' Corresponde a la arquitectura para la cual esta "preparado" el archivo. Esto se indica por medio de Flags por lo cual con un editor solo veremos numeros, pero con un debugger como olly u otros programas podemos ver a cual arquitectura corresponde el valor (o buscando en la msdn).
@@ Línea 64: / Línea 64: @@
 '''BaseOfData (offset + 0x30)''' Es un entero (4 bytes) que contiene el offset virtual donde se va a alojar la sección de datos. Para tener la direccion virtual hay que sumarle la ImageBase.
-'''ImageBase (offset + 0x34)''' Esta es la ImageBase de la que hablabamos en los 3 Itemos anteriores, Es un entero que contiene la direccion Virtual sobre la cual se va a cargar las secciones en memoria. Por eso de dice que es la Base, por que todos los &nbsp;offset estan haciendo referencia a una direccion virtual empezando desde esa posicion.
+'''ImageBase (offset + 0x34)''' Esta es la ImageBase de la que hablabamos en los 3 Itemos anteriores, Es un entero que contiene la direccion Virtual sobre la cual se va a cargar las secciones en memoria. Por eso de dice que es la Base, por que todos los &nbsp;offset estan haciendo referencia a una direccion virtual empezando desde esa posición.
 '''SectionAlignment (offset + 0x38)''' Al alojar memoria, se hace con un criterio, se reserva memoria de a "bloques", estos bloques deben ser multipos de este valor, generalmente es 0x1000. En pocas palabras cuando se reserva memoria se lo hace de a bloques de 0x1000 bytes. No importa si a la sección a cargar le va a sobrar espacio, se redonde a ese numero, siempre para arriba claro.

@@ Línea 34: / Línea 34: @@
 *Cabecera DOS: Es el comienzo del archivo, especifica las&nbsp;caracteristicas necesarias para ejecutar el programa cuando el Sistema&nbsp;Operativo es DOS. De lo contrario salta a la cabecera PE.
-*Stub Dos: Codigo que se ejecuta si el entorno es DOS. Por ej: El tipico&nbsp;cartel "This program cannot be run in DOS mode"
+*Stub Dos: Código que se ejecuta si el entorno es DOS. Por ej: El tipico&nbsp;cartel "This program cannot be run in DOS mode"
 *Cabecera PE: Estructura que contiene diversa informacion sobre el archivo&nbsp;ejectuable.
@@ Línea 52: / Línea 52: @@
 '''Characteristics (offset + 0x16)''' Contiene informacion sobre las caracteristicas de la imagen (si es ejecutable, si es 32 bits, etc). No es muy importante para nosotros, asi que solo lo mencionamos.
-'''SizeOfCode (offset + 0x1C)''' Es un entero (4 bytes) que contiene la suma de los tamaños de todas las secciones de "codigo".
+'''SizeOfCode (offset + 0x1C)''' Es un entero (4 bytes) que contiene la suma de los tamaños de todas las secciones de "código".
 '''SizeOfInitializedData (offset + 0x20)''' Es un entero (4 bytes) que contiene la suma de los tamaños de todas las secciones de que tiene datos inicializados.
@@ Línea 58: / Línea 58: @@
 '''SizeOfUninitializedData (offset + 0x24)''' Es un entero (4 bytes) que contiene la suma de los tamaños de todas las secciones de que tiene datos NO inicializados.
-'''AddressOfEntryPoint (offset + 0x28)''' Es un entero (4 bytes) que contiene el offset virtual donde comienza a ejecutar codigo. La direccion virtual seria este OEP + ImageBase.
+'''AddressOfEntryPoint (offset + 0x28)''' Es un entero (4 bytes) que contiene el offset virtual donde comienza a ejecutar código. La direccion virtual seria este OEP + ImageBase.
-'''BaseOfCode (offset + 0x2C)''' Es un entero (4 bytes) que contiene el offset virtual donde se va a alojar la sección de codigo. Para tener la direccion virtual hay que sumarle la ImageBase.
+'''BaseOfCode (offset + 0x2C)''' Es un entero (4 bytes) que contiene el offset virtual donde se va a alojar la sección de código. Para tener la direccion virtual hay que sumarle la ImageBase.
 '''BaseOfData (offset + 0x30)''' Es un entero (4 bytes) que contiene el offset virtual donde se va a alojar la sección de datos. Para tener la direccion virtual hay que sumarle la ImageBase.
@@ Línea 82: / Línea 82: @@
 Ahora el offset es diferente al anterior, este corresponde a la direccion donde comienza la estructura que define a la sección.
-'''Name (offset + 0x00) (8 bytes)''' Nombre corto de la sección, por ej ".code", ".data", el nombre es solo para identificar a la sección, no describre si esta es de codigo, de datos, etc, eso lo hace el miembro Characteristics de la estructura. (ver mas abajo).
+'''Name (offset + 0x00) (8 bytes)''' Nombre corto de la sección, por ej ".code", ".data", el nombre es solo para identificar a la sección, no describre si esta es de código, de datos, etc, eso lo hace el miembro Characteristics de la estructura. (ver mas abajo).
 '''VirtualSize (offset + 0x08) (4 bytes)''' Es el tamaño del bloque de la memoria virtual donde se cargara la sección. Es decir se reserva un bloque de memoria de este tamaño, la direccion donde se lo reserva lo dice el siguiente miembro. El valor es siempre mayor o igual a el de SizeOfRawData
@@ Línea 92: / Línea 92: @@
 '''PointerToRawData (offset + 0x14) (4 bytes)''' Direccion física que indica donde comienzan el contenido de la sección en el archivo. Recordar que esta direccion debe ser multiplo de FileAlignment, que generalmente es 0x200.
-'''Characteristics (offset + 0x24) (4 bytes)''' En este miembro se indican las caracteristicas de la sección mediante flags. Si en la sección esta permitido escribir, leer, executar, si la sección es de codigo, datos inicializados, datos no inicializados, etc.
+'''Characteristics (offset + 0x24) (4 bytes)''' En este miembro se indican las caracteristicas de la sección mediante flags. Si en la sección esta permitido escribir, leer, executar, si la sección es de código, datos inicializados, datos no inicializados, etc.
 == Fuentes  ==

@@ Línea 90: / Línea 90: @@
 '''SizeOfRawData (offset + 0x10) (4 bytes)''' Tamaño que ocupa la sección en el archivo.
-'''PointerToRawData (offset + 0x14) (4 bytes)''' Dirección física que indica donde comienzan el contenido de la sección en el archivo. Recordar que esta direccion debe ser multiplo de FileAlignment, que generalmente es 0x200.
+'''PointerToRawData (offset + 0x14) (4 bytes)''' Direccion física que indica donde comienzan el contenido de la sección en el archivo. Recordar que esta direccion debe ser multiplo de FileAlignment, que generalmente es 0x200.
 '''Characteristics (offset + 0x24) (4 bytes)''' En este miembro se indican las caracteristicas de la sección mediante flags. Si en la sección esta permitido escribir, leer, executar, si la sección es de codigo, datos inicializados, datos no inicializados, etc.

@@ Línea 5: / Línea 5: @@
 -Cuando se habla de memoria virtual, se refiere al bloque de memoria que asigna el Sistema Operativo en la Ram para trabajar con el programa. La direccion virtual no hace referencia a la direccion real de la memoria ram, solo a un bloque que el programa esta usando de ella. En win32 los programas pueden manejar direcciones de memoria de 0 a 232, esto no quiere decir que en memoria se cargue 4 GB, solo que el programa puede manejar direcciones de ese tamaño (0x00000000 - 0xFFFFFFFF).
--Cuando se habla de direcciones, no siempre se refiere a la memoria, sino tambien a la posicion de los datos en el archivo. O sea, cuando se habla de direcciones en memoria, seran "direcciones virtuales", y cuando se habla de direcciones en el archivo, serán "direcciones fisicas".
+-Cuando se habla de direcciones, no siempre se refiere a la memoria, sino tambien a la posicion de los datos en el archivo. O sea, cuando se habla de direcciones en memoria, seran "direcciones virtuales", y cuando se habla de direcciones en el archivo, serán "direcciones físicas".
 == Estructura PE  ==
@@ Línea 90: / Línea 90: @@
 '''SizeOfRawData (offset + 0x10) (4 bytes)''' Tamaño que ocupa la sección en el archivo.
-'''PointerToRawData (offset + 0x14) (4 bytes)''' Direccion fisica que indica donde comienzan el contenido de la sección en el archivo. Recordar que esta direccion debe ser multiplo de FileAlignment, que generalmente es 0x200.
+'''PointerToRawData (offset + 0x14) (4 bytes)''' Dirección física que indica donde comienzan el contenido de la sección en el archivo. Recordar que esta direccion debe ser multiplo de FileAlignment, que generalmente es 0x200.
 '''Characteristics (offset + 0x24) (4 bytes)''' En este miembro se indican las caracteristicas de la sección mediante flags. Si en la sección esta permitido escribir, leer, executar, si la sección es de codigo, datos inicializados, datos no inicializados, etc.

@@ Línea 129: / Línea 129: @@
 [[Crack Informático]]
-== Enlaces Externos&nbsp;  ==
+== Enlaces Externos ==
 [http://foro.elhacker.net foro.elhacker.net]
 [http://msdn2.microsoft.com/en-us/library/ms680341.aspx msdn2.microsoft.com/en-us/library/ms680341.aspx]
 [[Category:Informática]]

@@ Línea 121: / Línea 121: @@
 == Fuentes  ==
-Manual "Peering Inside the PE"Enlaces Internos
+Manual "Peering Inside the PE"
 == Enlaces Internos  ==