首页
社区
课程
招聘
7
[翻译]Microsofts Rich Header
发表于: 2010-11-25 09:48 8017

[翻译]Microsofts Rich Header

2010-11-25 09:48
8017

题目:Microsofts Rich Header


作者:Peter Kleissner


译者:Cryin'(

)



概述



Rich Header是PE文件DOS Header和NT Header之间的一个结构(在PE Header和DOS stub之间)。它包含链接库版本信息以及链接器版本。



The Rich Header



Rich Header是由微软编译器创建,通常看起来像如下:



WSNPOEM Decryption Code analyzed:



00000080  54 62 EF 9B 10 03 81 C8 10 03 81 C8 10 03 81 C8  Tb??...è...è...è


00000090  37 C5 EF C8 11 03 81 C8 37 C5 FC C8 12 03 81 C8  7??è...è7?üè...è


000000A0  37 C5 FA C8 0B 03 81 C8 10 03 80 C8 C9 03 81 C8  7?úè...è..€èé..è


000000B0  37 C5 EC C8 33 03 81 C8 37 C5 FD C8 11 03 81 C8  7?ìè3..è7?yè...è


000000C0  37 C5 F9 C8 11 03 81 C8 52 69 63 68 10 03 81 C8  7?ùè...èRich...è



这是notepad.exe的Rich Header信息,起始偏移地址为80h,紧跟在DOS stub之后。紧跟在Rich Header之后的是PE Header。从上面的Rich Header信息你大概可以看出Rich Header是被加密过的。



解密Rich Header



Rich Header信息是被异或操作加密过的,观察上面Rich Header数据你会发现一个重复多次的DWORD值即"Rich"之后的10 03 81 c8。将Rich Header信息的起始位置一直到关键字"Rich"的数据与这个DWORD值进行异或操作,操作后的Rich Header如下所示:



00000080  44 61 6e 53 00 00 00 00 00 00 00 00 00 00 00 00  DanS............


00000090  27 c6 6e 00 01 00 00 00 27 c6 7d 00 02 00 00 00  '?n.....'?}.....


000000A0  27 c6 7b 00 1b 00 00 00 00 00 01 00 d9 00 00 00  '?{.........ù...


000000B0  27 c6 6d 00 23 00 00 00 27 c6 7c 00 01 00 00 00  '?m.#...'?|.....


000000C0  27 c6 78 00 01 00 00 00 52 69 63 68 10 03 81 c8  '?x.....Rich...è



我们看到第一个DWORD值为"DanS",这个好像正是Dan Ruder的开头部分,Dan Ruder正是"Mechanics of Dynamic Linking" in 1993(MSDN Library Archive)的作者之一。



格式解析



从lifewire的文章详见参考[6]获知Rich Header结构的格式如下:



'DanS'^b, b, b, b         -- 身份认证头


compid^b, r^b           -- 从0开始


..                     --      :


compid^b, r^b          -- 直到n



'Rich', b              -- 结束位置



[注意]看雪招聘,专注安全领域的专业人才平台!

上传的附件:
收藏
免费 7
支持
分享
赞赏记录
参与人
雪币
留言
时间
Youlor
为你点赞~
2024-5-31 04:44
伟叔叔
为你点赞~
2024-3-3 00:48
QinBeast
为你点赞~
2024-1-19 05:11
心游尘世外
为你点赞~
2024-1-15 03:26
shinratensei
为你点赞~
2024-1-15 00:23
飘零丶
为你点赞~
2024-1-4 00:29
PLEBFE
为你点赞~
2023-3-15 00:18
最新回复 (2)
雪    币: 560
活跃值: (263)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
精彩啊
2010-11-25 14:14
0
雪    币: 338
活跃值: (103)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
3
2010-11-26 10:35
0
游客
登录 | 注册 方可回帖
返回

账号登录
验证码登录

忘记密码?
没有账号?立即免费注册