Cracking – 4. část

• PE souborový formát
• Co je to PE šifrér/kompresor?
• Popis nejdůležitějších částí PE hlavičky
• Software pro práci s PE

PE, nebo-li Portable Executable, je univerzálním formátem všech spustitelných souborů Win32 platforem (Windows 95, 9x, ME, 2k, XP). Operační systém dokáže s PE souborem pracovat bez ohledu na procesor, narozdíl třeba od MS-DOSu.

Základní struktura PE

DOS MZ hlavička, Úsek pro DOS

DOS MZ hlavička je v PE souboru pouze pro zachování kompatibility s operačním systémem MS-DOS. Pokud je tento program v DOSu spuštěn, tak program pokračuje spouštěním úseku pro DOS, ve kterém se v současnosti v naprosté drtivé většině případů zobrazuje hlášení „This program can not be run in DOS mode“, ale dříve zde někdy byl i program pro DOS.

PE hlavička

Je v ní uložena struktura IMAGE_NT_HEADER, ale o té až později.

Tabulka sekcí, Sekce

Sekce jsou logické celky dat (ve většině případů). Data jsou v nich uložena podle charakteristických atributů. Tabulka sekcí je pole struktur. Každý prvek obsahuje informace o jedné sekci.

Co je to PE šifrér a jak pracuje?

V současné době jsou PE-šifréry/kompresory nejpoužívanější možností ochrany programů před crackery. Základní myšlenka spočívá v zašifrování dat a jejich dešifrování při spuštění. V jednom tutoriálu na internetu jsem nalezl následující pokračování: „Tím nástroje jako je disassembler nebo HEX editor ztrácejí smysl, protože nač je nesmyslný kód.“ Pro upřesnění tohoto tvrzení ještě musím dodat, že existují také programátoři, kteří dokáží ze zdrojového kódu zašifrovaného programu rozeznat o jaký PE šifrér se jedná a dokáží i tento nesmyslný kód pochopit, ale myslím, že mezi ně čtenáři tohoto seriálu nepatří (jestli jo, tak se vám omlouvám). Co se týká HEX editoru, je občas nutné, než začnete kód zkoumat v debuggeru, odstranit ochranu, a to by bez HEX editoru nešlo, ale pro vás, kteří s crackingem začínáte, je tvrzení, které jsem teď upřesnil v podstatě správné. Některé kompresory jsou zaměřeny spíše na zmenšení souboru než na jeho ochranu (ASPack). PE šifréry/kompresory standardně obsahují triky proti debuggerům a různým programům používaných crackery (FileMonitor, ProcDump, …). PE šifréry/kompresory se převážně používají ve spojení s nějakou jinou ochranou, což je vcelku logické, protože na co by byl zašifrovaný soubor, když by šel jednoduše spustit. Jak to na světě bývá, tak existují kvalitní a nekvalitní produkty. Ty nejkvalitnější, které si rozebereme podrobněji, využívají různé triky proti debuggerům (nejvíce Soft-Ice a TRW), používají pasivní nebo aktivní SMC a další věci, které znepříjemňují crackerům život. V příští lekci plánuji test PE šifrérů (v rámci freeware, shareware) a podrobnější rozebrání jejich funkcí, ale teď zpět k PE formátu.

Ověření PE formátu

Díky neuvěřitelnému rozsahu PE formátu nelze vždy přesně říci, zda-li se jedná o soubor s platným PE formátem. Nejlepším kompromisem bude spokojit se s nejdůležitější strukturou PE hlavičky, a to IMAGE_NT_HEADERS, jejíž výtah je zde:

IMAGE_NT_HEADERS
{
	DWORD Signature;
	IMAGE_FILE_HEADER FileHeader;
	IMAGE_OPTIONAL_HEADER32 OptionalHeader;
}