View source for Struktur file PE

Portable Execution (PE) adalah file executable yang digunakan dalam OS Windows (Kalo di Linux namanya ELF). Format ini menggantikan format MZ yang digunakan pada pendahulu Windows yaitu MS-DOS. PE memiliki struktur yang lebih fleksibel dan minim masalah. Menganalis PE file sangat krusial dalam malware analysis.

[[File:Pe-structure.png]]

<span id="mz-header"></span>
= MZ Header =

Pada era MS-DOS dan Windows masih berjalan berdampingan, kedua OS tersebut sama-sama memiliki file executable yang sama yaitu <code>.exe</code>. Lalu ada masalah yang muncul ketika aplikasi Windows dijalankan di MS-DOS, hal ini disebabkan oleh format eksekusi windows yang lebih kompleks dibandingkan MS-DOS. Solusi dari masalah ini adalah dengan menambahkan MZ Header yang akan menampilkan pesan ''“This program cannot be run in DOS mode.”'' Jika program tersebut dieksekusi pada MS-DOS.

[[File:Dos-message.png|700px]]

MZ Header memiliki struktur utama yaitu:

* Signature (MZ / 0x4D5A) → Menandakan bahwa file ini adalah file eksekusi DOS.
* Pointer ke PE Header → Menunjukkan lokasi bagian Portable Executable (PE) yang berisi kode utama aplikasi Windows. Pointer ini ditandai dengan field e_lfanew
* Kode kecil DOS → Bertanggung jawab untuk mencetak pesan peringatan saat dijalankan di lingkungan DOS.

Jadi garis besar cara kerja MZ Header adalah:

<ol style="list-style-type: decimal;">
<li><p>Jika file <code>.exe</code> dijalankan di lingkungan DOS, kode kecil dalam MZ Header akan dijalankan dan menampilkan pesan peringatan.</p></li>
<li><p>Jika file <code>.exe</code> dijalankan di Windows, sistem akan membaca pointer ke PE Header (e_lfanew) dan langsung melompati bagian DOS, lalu mengeksekusi bagian PE yang berisi kode aplikasi Windows.</p>
<p>[[File:Mz-header.png|700px]]</p></li></ol>

<span id="pe-header"></span>
= PE Header =

Setelah MZ Header dalam file Portable Executable (PE), terdapat struktur penting yang disebut PE Header. PE Header berfungsi sebagai titik awal bagi sistem operasi Windows untuk memahami bagaimana mengeksekusi program.

<span id="struktur-pe-header"></span>
== Struktur PE Header ==

PE Header dimulai dengan dua huruf “PE” (dalam heksadesimal: <code>0x50 0x45</code>), yang merupakan signature yang menandakan bahwa file ini menggunakan format PE.

Setelah signature ini, PE Header terdiri dari dua bagian utama: File Header berisi informasi dasar tentang file PE, seperti:

<span id="file-header"></span>
=== File Header ===

<ul>
<li><p>Machine → Menunjukkan arsitektur prosesor yang dapat menjalankan file ini (misalnya, <code>0x8664</code> untuk x86-64).</p></li>
<li><p>Number of Sections → Jumlah section dalam file, seperti <code>.text</code>, <code>.data</code>, <code>.rdata</code>, dll.</p></li>
<li><p>TimeDateStamp → Waktu file dikompilasi.</p></li>
<li><p>Pointer to Symbol Table &amp; Number of Symbols → Untuk debugging dan informasi simbol (jarang digunakan dalam executable final).</p></li>
<li><p>Size of Optional Header → Ukuran header opsional.</p></li>
<li><p>Characteristics → Properti file, misalnya apakah ini executable, DLL, dll.</p>
<p>[[File:File-header.png|700px]]</p></li></ul>

<span id="optional-header"></span>
=== Optional Header ===

Meskipun disebut “Optional”, sebenarnya header ini wajib ada untuk file executable (kecuali untuk file object). Bagian ini berisi informasi yang dibutuhkan sistem operasi untuk memuat file PE ke dalam memori. Berikut bagian-bagian optional header yang cukup penting:

* Magic → Menandakan apakah file ini untuk 32-bit (0x10B) atau 64-bit (0x20B)
* AddressOfEntryPoint*→ Alamat awal eksekusi program setelah dimuat ke memori.
* ImageBase → Alamat virtual dasar tempat file PE akan dimuat di memori.
* SectionAlignment &amp; FileAlignment → Menentukan cara penyelarasan (alignment) data dalam memori dan dalam file.
* SizeOfImage &amp; SizeOfHeaders → Ukuran total dari file ketika dimuat di memori.
* Subsystem → Menunjukkan apakah file ini adalah GUI, console, atau driver mode.
* DLL Characteristics → Berisi flag seperti DEP/NX compatibility, ASLR support, dll.
* subsystem →menunjukan jenis aplikasi yang dieksekusi. Contoh: menunjukan apakah itu aplikasi CLI, UI, atau POSIX (?)

[[File:Optional-header.png|700px]]

<span id="data-directory"></span>
=== Data Directory ===

adalah sebuah array yang menunjuk ke berbagai tabel atau header tambahan yang mungkin ada dalam file executable. Data Directory tidak selalu digunakan dalam setiap aplikasi, tetapi jika ada, ia akan menyimpan informasi penting mengenai bagaimana executable harus berinteraksi dengan sistem operasi.

Dua komponen utama Data Directory

{| class="wikitable"
|-
! Field
! Keterangan
|-
| Address
| Pointer yang menunjuk ke awal header dalam memori
|-
| Size
| Ukuran dari header atau tabel yang ditunjuk.
|}

Tidak semua entri dalam Data Directory relevan untuk analisis malware atau exploit development, tetapi berikut adalah beberapa yang paling sering digunakan:

# Import Table
#* Menunjukkan daftar fungsi atau API yang digunakan oleh program, tetapi berasal dari file lain (seperti DLL – ''Dynamic Link Library'' ).
#* Contoh: Jika sebuah aplikasi memanggil <code>MessageBoxA()</code> dari <code>user32.dll</code>, maka '''Import Table''' akan memiliki referensi ke fungsi tersebut.
#* Penting untuk malware analysis karena bisa menunjukkan fungsi API mana yang digunakan oleh malware untuk melakukan aksinya (seperti <code>WinExec</code> atau <code>LoadLibrary</code>).
# Export Table
#* Berisi daftar fungsi yang tersedia untuk dipakai oleh executable lain.
#* Contoh: <code>kernel32.dll</code> mengekspor banyak fungsi seperti <code>CreateFileA</code>, <code>ReadFile</code>, <code>WriteFile</code>, dll.
#* '''Penting untuk exploit development''' , karena jika sebuah DLL memiliki fungsi yang bisa dieksploitasi (misalnya buffer overflow), kita bisa menyalahgunakannya.
# Resource Table
#* Berisi informasi tentang sumber daya (resource) yang disertakan dalam executable, seperti ikon, gambar, string, dialog box, atau file lainnya .
#* Penting dalam malware analysis , karena beberapa malware menyembunyikan kode berbahaya dalam resource section dan mengekstraknya saat runtime.
# Relocation Table
#* Digunakan jika executable tidak bisa dimuat pada alamat memori yang diharapkan , sehingga alamat dalam kode harus disesuaikan (relokasi).
#* Penting dalam exploit development , karena ASLR ( ''Address Space Layout Randomization'' ) sering memanfaatkan relocation untuk mencegah eksploitasi.
# TLS (Thread Local Storage) Table
#* Digunakan untuk menjalankan kode sebelum <code>main()</code> dipanggil .
#* Bisa digunakan untuk bypass debugger dengan mengeksekusi kode sebelum debugger mengambil kontrol atas program.
#* Malware sering menggunakan TLS callbacks untuk menyembunyikan eksekusi awalnya dari debugger.

<span id="section-table"></span>
= Section Table =

Section Table berisi daftar section dalam executable. Setiap section memiliki fungsi spesifik, seperti menyimpan kode program, data statis, atau informasi lainnya.Jumlah section dalam Section Table ditentukan oleh nilai dalam field <code>NumberOfSections</code> yang ada di FileHeader.

<span id="struktur-section-table"></span>
== Struktur Section Table ==

Setiap section header memiliki beberapa field penting:

{| class="wikitable"
|-
! '''Field'''
! '''Keterangan'''
|-
| Name
| Nama section (maksimal 8 byte, sering dalam format string).
|-
| VirtualAddress
| Alamat awal section dalam memori (dalam bentuk RVA –''Relative Virtual Address'' ).
|-
| VirtualSize
| Ukuran section dalam memori (bisa lebih besar dari ukuran aslinya di disk karena padding).
|-
| SizeOfRawData
| Ukuran section di hard disk (bisa lebih kecil dari ukuran di memori).
|-
| PointerToRawData
| Offset awal section di dalam file PE di hard disk.
|-
| Characteristics
| Flags yang menunjukkan izin akses (EXECUTE, READ, WRITE).
|}

[[File:Section-header.png|700px]]

= Aplikasi Static Analysis PE File == 
* [[https://ntcore.com/explorer-suite/|CFF Explorer]]
* [[https://github.com/hasherezade/pe-bear|PE Bear]]
* [[https://www.winitor.com/download|pestudio]]