新開張測試

留言

張貼留言

這個網誌中的熱門文章

格式透視 - 解析 PE 文件格式

圖片
程式身家基本訊息：PE file structure PE 是 Portable Executable 的縮寫，也就是 Windows 系統中的可執行（Executable）程式或動態連結函式庫（Dynamic link library）的文件格式，主要使用在 32 位和 64 位的 Windows 操作系统上。 為了能夠瞭解 PE 格式，我們需要以下的對照： 1. PE 格式示意圖 2. Hiew 程式，以小算盤為範例 3. PE 格式圖 以下為簡單對照 DOS MZ Header 開頭必定為＂MZ＂4D 5A，這是 DOS EXE 的 Signature。而這東西讓 PE file 在 DOS 模式下也可執行，所佔大小為 40h bytes。 DOS Stub 但也不是什麼都能在 DOS 底下執行，若是程式在 DOS 下無法執行便會跳出這邊的錯誤訊息：＂ This Program cannot be run in DOS mode ＂。 PE Header 為了找到 PE 的開頭位置，我們可從 DOS Header 0x3C 的位置找到一個 Double word（又稱 dword，大小為 4 個 bytes），這個 dword 大小表示了整個 DOS MZ Header 的 size， 也就是 D8 00 00 00 ，注意！這裡實際位置是 0x000000D8 ，想必 IQ180 的各位已經注意到必須以 Byte 為單位顛倒過來看才行，這種反向讀取方式稱之為 Little－endian order ，在 PE 文件中皆採用此種讀取方式。 到了 PE 位置所看到的必定是 50 45，PE Header 裡包含了許許多多的訊息，其中最重要之一就是距離 PE 位置（0xD8）後 0x28 的 dword，這裡是這隻程式執行時的入口點（Entry point）。聽起來好像沒什麼重要的，不過若是入口點被設置在檔案的 Overlay 區域呢？這就很有趣了～正常來說是不會設置在這邊的。 什麼是 Overlay? 這個以後會再說 再往後數 12 Bytes 則是 Image base，下圖最後 4 Bytes，也就是 0x01000000 之前找到的入口點是相對虛擬位置（Relative virt
閱讀完整內容

doc call呼叫外部程式與副程式

呼叫外部程式與副程式 常用的呼叫外部程式有下列幾種方式 call 外部程式 從批次檔中呼叫外部程式並可傳遞參數，在同一個 shell 環境下，可共同存取相同的環境變數。 rem test.cmd @echo off call test1.cmd hello pause rem test1.cmd @echo off echo %1 timeout 6 cmd /c 外部指令 呼叫一個新的shell程式(cmd)並於指令執行完成後結束這個 shell ，返回原來的shell環境，外部程式執行在新的shell之中，因此存取的環境變數與原程式不同，有區域變數的遮蔽效果 @echo off cmd /c notepad.exe exit 留意上述範例執行情形，在notepad.exe關閉以前，不會執行 exit 指令，因為指令尚未結束，還留在新的shell當中。 開始一個新視窗執行程式 => start [program] [parameters] 因為 cmd /c 具有同步特性(會等外部程式執行完畢)，因此不太適合呼叫需與使用者互動的視窗程式，因為命令提示視窗會因等待而保持開啟，所以適合改用 start 來呼叫執行。 @echo off start notepad.exe exit 使用 /wait 也可以改讓 start 具有同步特性，詳情參考 start /? 副程式呼叫 批次檔的副程式呼叫也是利用 call 指令，不同的是 call 的對象不是外部程式 ，而是相同檔案中的標籤，也可以傳遞參數。 因為批次檔的副程式僅利用標籤代表區塊的開始，因此副程式都放在程式的尾部，之後就不要寫任何命令敘述了，代表區塊的結束。 因為批次檔循序讀取的特性，就算副程式沒有被呼叫，也會被當作標籤一般順序執行下來，因此在副程式之前通常要加上 goto :EOF 強制結束批次檔。 call :標籤 參數1 參數2... @echo off rem for迴圈使用方式請參考本手冊相關章節 for %%i in (*.dll *.exe) DO CALL :SubRoutin "%%i" pause goto :EOF :SubRoutin echo %1, %~n1, %~x1
閱讀完整內容