Загрузка и выполнение EXE - программы
Формат EXE - файла на диске
Часть 2. EXE - вирусы
Глава 1. Разработка нерезидентного EXE - вируса
Каждый EXE - файл, хранимый на диске, состоит из заголовка, таблицы настройки и собственно программных кодов и данных.В заголовке содержится информация для настройки адресов и установки значений регистров процессора, которая используется при загрузке программы. Поскольку понимание структуры заголовка очень важно для изучения данной и последующей глав, мы рассмотрим ее уже сейчас. Итак, заголовок EXE - файла при хранении его на диске имеет следующий формат:
Байты 0, 1 | Содержат код 4D5Ah, или " MZ " |
Байты 2, 3 | Содержат остаток от деления размера загрузочного модуля на 512 |
Байты 4, 5 | Содержат размер файла в 512-ти байтовых страницах, округленный в большую сторону |
Байты 6, 7 | Содержат число элементов таблицы настройки адресов |
Байты 8, 9 | Содержат размер заголовка в параграфах |
Байты 0A,0B | Содержат минимальное число дополнительных параграфов,которые нужны загруженной программе |
Байты 0C,0D | Содержат максимальное число дополнительных параграфов |
Байты 0E,0F | Содержат смещение в параграфах сегмента стека в загрузочном модуле; назовем его SS0 |
Байты 10,11 | Содержат значение регистра SP, которое устанавливается перед передачей управления программе ( SP0 ) |
Байты 12,13 | Содержат контрольную сумму EXE-файла |
Байты 14,15 | Содержат значение регистра IP, которое устанавливается перед передачей управления программе ( IP0 ) |
Байты 16,17 | Содержат смещение в параграфах сегмента кода в загрузочном модуле, или CS0 |
Байты 18,19 | Содержат расстояние в байтах от начала файла до первого элемента таблицы настройки адресов |
Байты 1A,1B | Содержат "0", если данная часть программы является резидентной, или отличное от нуля число - если данная часть является оверлейной |
Заметим, что контрольная сумма определяется суммированием всех слов, содержащихся в файле, без учета переполнения.При этом она практически нигде не используется.
Действия MS DOS при запуске EXE - программы отличаются от действий при запуске программы типа COM, хотя в обоих случаях операционная система использует одну и ту же функцию EXEC. Действия этой функции при запуске EXE - программы выглядят так:
- Запускаемой программе отводится вся свободная в данный момент оперативная память. Сегментная часть начального адреса этой памяти обычно называется начальным сегментом программы.
- По нулевому смещению в сегменте, определяемом начальным сегментом программы,EXEC строит PSP программы. Заполняет PSP по-прежнему операционная система, а его размер, как и для COM - программы, равен 256 байт.
- Сразу вслед за PSP загружается сама EXE - программа. Причем в память помещается исключительно загрузочный модуль, а заголовок и таблица настройки в память не копируются.После этого выполняется так называемая настройка адресов. Ее суть состоит в следующем:
Некоторые команды (например, команды далекого перехода или вызова процедуры, расположенной в другом программном сегменте) требуют указания не только смещения, но и сегмента адреса. Компоновщик строит EXE - модуль относительно некоторого "начального" адреса,но ведь в MS DOS программы могут загружаться в произвольную область памяти! Поэтому при загрузке программы к каждому сегментному адресу прибавляется значение начального сегмента программы. Этот процесс и называют настройкой адресов. У вас может возникнуть вопрос, откуда MS DOS знает, где расположены требующие настройки элементы. Для получения такой информации система использует таблицу настройки, которая находится в файле по некоторому смещению от его начала. Само смещение хранится в заголовке в байтах 18h, 19h.
- EXEC выполняет настройку регистров процессора. Обозначим начальный сегмент программы буквами NS0. Тогда устанавливаемые значения регистров будут выглядеть так:
CS0, SS0, IP0 и SP0 берутся загрузчиком из заголовка EXE - файла, а NS0 становится известным в процессе загрузки.
- Теперь загруженную EXE - программу можно исполнить. Для этого EXEC передает управление по адресу CS:IP.
Стоит заметить, что размер EXE - файла в MS DOS не ограничивается размером одного сегмента и может быть очень большим ( примерно 65535*512 = 33553920 байт!). Правда,для построения очень больших EXE-программ используется оверлейная структура.При исполнении программы, имеющей оверлейную структуру, она не загружается в память целиком.Вместо этого в память помещается только ее резидентная часть, которая по мере необходимости подгружает те или иные оверлейные фрагменты.