Загрузка и выполнение EXE - программы

Формат EXE - файла на диске

Часть 2. EXE - вирусы

Глава 1. Разработка нерезидентного EXE - вируса

Каждый EXE - файл, хранимый на диске, состоит из заголовка, таблицы настройки и собственно программных кодов и данных.В заголовке содержится информация для настройки адресов и установки значений регистров процессора, которая используется при загрузке программы. Поскольку понимание структуры заголовка очень важно для изучения данной и последующей глав, мы рассмотрим ее уже сейчас. Итак, заголовок EXE - файла при хранении его на диске имеет следующий формат:

Байты 0, 1	Содержат код 4D5Ah, или " MZ "
Байты 2, 3	Содержат остаток от деления размера загрузочного модуля на 512
Байты 4, 5	Содержат размер файла в 512-ти байтовых страницах, округленный в большую сторону
Байты 6, 7	Содержат число элементов таблицы настройки адресов
Байты 8, 9	Содержат размер заголовка в параграфах
Байты 0A,0B	Содержат минимальное число дополнительных параграфов,которые нужны загруженной программе
Байты 0C,0D	Содержат максимальное число дополнительных параграфов
Байты 0E,0F	Содержат смещение в параграфах сегмента стека в загрузочном модуле; назовем его SS0
Байты 10,11	Содержат значение регистра SP, которое устанавливается перед передачей управления программе (SP0)
Байты 12,13	Содержат контрольную сумму EXE-файла
Байты 14,15	Содержат значение регистра IP, которое устанавливается перед передачей управления программе (IP0)
Байты 16,17	Содержат смещение в параграфах сегмента кода в загрузочном модуле, или CS0
Байты 18,19	Содержат расстояние в байтах от начала файла до первого элемента таблицы настройки адресов
Байты 1A,1B	Содержат "0", если данная часть программы является резидентной, или отличное от нуля число - если данная часть является оверлейной

Заметим, что контрольная сумма определяется суммированием всех слов, содержащихся в файле, без учета переполнения.При этом она практически нигде не используется.

Действия MS DOS при запуске EXE - программы отличаются от действий при запуске программы типа COM, хотя в обоих случаях операционная система использует одну и ту же функцию EXEC. Действия этой функции при запуске EXE - программы выглядят так:

1. Запускаемой программе отводится вся свободная в данный момент оперативная память. Сегментная часть начального адреса этой памяти обычно называется начальным сегментом программы.
2. По нулевому смещению в сегменте, определяемом начальным сегментом программы,EXEC строит PSP программы. Заполняет PSP по-прежнему операционная система, а его размер, как и для COM - программы, равен 256 байт.
3. Сразу вслед за PSP загружается сама EXE - программа. Причем в память помещается исключительно загрузочный модуль, а заголовок и таблица настройки в память не копируются.После этого выполняется так называемая настройка адресов. Ее суть состоит в следующем:

Некоторые команды (например, команды далекого перехода или вызова процедуры, расположенной в другом программном сегменте) требуют указания не только смещения, но и сегмента адреса. Компоновщик строит EXE - модуль относительно некоторого "начального" адреса,но ведь в MS DOS программы могут загружаться в произвольную область памяти! Поэтому при загрузке программы к каждому сегментному адресу прибавляется значение начального сегмента программы. Этот процесс и называют настройкой адресов. У вас может возникнуть вопрос, откуда MS DOS знает, где расположены требующие настройки элементы. Для получения такой информации система использует таблицу настройки, которая находится в файле по некоторому смещению от его начала. Само смещение хранится в заголовке в байтах 18h, 19h.

1. EXEC выполняет настройку регистров процессора. Обозначим начальный сегмент программы буквами NS0. Тогда устанавливаемые значения регистров будут выглядеть так:

5. 6. DS = ES = NS07. CS = NS0 + 10h + CS08. IP = IP09. SS = NS0 + 10h + SS010. SP = SP0

CS0, SS0, IP0 и SP0 берутся загрузчиком из заголовка EXE - файла, а NS0 становится известным в процессе загрузки.

1. Теперь загруженную EXE - программу можно исполнить. Для этого EXEC передает управление по адресу CS:IP.

Стоит заметить, что размер EXE - файла в MS DOS не ограничивается размером одного сегмента и может быть очень большим (примерно 65535*512 = 33553920 байт!). Правда,для построения очень больших EXE-программ используется оверлейная структура.При исполнении программы, имеющей оверлейную структуру, она не загружается в память целиком.Вместо этого в память помещается только ее резидентная часть, которая по мере необходимости подгружает те или иные оверлейные фрагменты.

Дата добавления: 2014-11-20