PE 포맷 내부 구조: Windows 실행 파일 뜯어보기

ELF를 다뤘던 것과 비슷하게, 윈도우 실행 파일(PE, Portable Executable) 리버싱을 시작하려면 이 포맷 구조부터 이해해야 한다. exe, dll, sys 전부 이 포맷을 쓴다.

전체 구조

DOS Header (MZ) → DOS Stub → PE Header (NT Headers) → Section Headers → Sections (.text, .data, .rdata, .rsrc, ...)

• DOS Header: 맨 앞 2바이트가 MZ(매직 넘버)다. 지금은 실질적으로 안 쓰이지만 하위 호환을 위해 남아있고, 실제 PE Header 위치를 가리키는 e_lfanew 필드를 담고 있다.
• PE Header(NT Headers): 진짜 시작 지점이다. Signature, 아키텍처(x86/x64), 섹션 개수 같은 파일 헤더 정보와, 진입점 주소(AddressOfEntryPoint), 이미지 베이스, Import/Export 테이블 위치 등을 담은 Optional Header로 구성된다.
• Section Headers: 각 섹션의 이름, 파일에서의 위치, 메모리에 로드될 때의 위치(RVA), 크기, 권한(읽기/쓰기/실행)을 정의한다.
• 주요 섹션: .text(코드), .data(초기화된 전역 변수), .rdata(읽기 전용 데이터, Import 테이블 포함), .rsrc(아이콘·문자열 같은 리소스), .reloc(재배치 정보)

Import Table — 어떤 API를 쓰는지 알아내는 창

프로그램이 어떤 DLL의 어떤 함수를 쓰는지가 Import Table(보통 .rdata에 병합됨)에 다 나열되어 있다. 악성코드 분석에서 이 테이블을 제일 먼저 본다 — WinExec, VirtualAlloc, InternetOpenUrl 같은 함수가 임포트되어 있으면 뭘 하려는 프로그램인지 감이 온다.

# CLI로 Import Table 빠르게 확인
objdump -x binary.exe | grep "DLL Name"

# pefile(Python)로 스크립트화
import pefile
pe = pefile.PE('binary.exe')
for entry in pe.DIRECTORY_ENTRY_IMPORT:
    print(entry.dll, [imp.name for imp in entry.imports])

실전 도구

• PE-bear / CFF Explorer: 헤더·섹션을 GUI로 직관적으로 뜯어보기 좋다
• IDA/Ghidra: 실제 디스어셈블·디컴파일
• pefile (Python): 스크립트로 자동화된 정적 분석(악성코드 대량 분류 등)에 활용

Import Table에 정상적이지 않은 조합(예: 일반 문서 뷰어인데 WinExec와 URLDownloadToFile을 같이 임포트)이 보이면 그 자체가 강한 악성 지표가 된다.