Leer la cabecera PE de un programa

¿Queréis verle las tripas a un archivo EXE? El siguiente procedimiento que voy a mostrar lee la cabecera PE de los archivos ejecutables y nos informa del punto de entrada del programa, el estado de los registros, la pila, etc.

Un archivo ejecutable se compone de distintas cabeceras dentro del mismo, ya sea si se va a ejecutar dentro del antiguo sistema operativo MS-DOS o en cualquier versión de Windows.

El siguiente procedimiento toma como parámetro un archivo ejecutable y lo guarda en un supuesto campo memo llamado INFORMACION que se encuentra en el formulario FPrincipal:

procedure TFPrincipal.ExaminarEXE( sArchivo: String );
var
  FS: TFilestream;
  Firma: DWORD;
  Cabecera_dos: IMAGE_DOS_HEADER;
  Cabecera_pe: IMAGE_FILE_HEADER;
  Cabecera_opc: IMAGE_OPTIONAL_HEADER;
begin
  INFORMACION.Clear;

  FS := TFilestream.Create( sArchivo, fmOpenread or fmShareDenyNone );

  try
    FS.Read( Cabecera_dos, SizeOf( Cabecera_dos ) );

    if Cabecera_dos.e_magic <> IMAGE_DOS_SIGNATURE then
    begin
      INFORMACION.Lines.Add( 'Cabecera DOS inválida' );
      Exit;
    end;
   
    LeerCabeceraDOS( Cabecera_dos, INFORMACION.Lines );

    FS.Seek( Cabecera_dos._lfanew, soFromBeginning );
    FS.Read( Firma, SizeOf( Firma ) );

    if Firma <> IMAGE_NT_SIGNATURE then
    begin
      INFORMACION.Lines.Add( 'Cabecera PE inválida' );
      Exit;
    end;

    FS.Read( Cabecera_pe, SizeOf( Cabecera_pe ) );
    LeerCabeceraPE( Cabecera_pe, INFORMACION.Lines );

    if Cabecera_pe.SizeOfOptionalHeader > 0 then
    begin
      FS.Read( Cabecera_opc, SizeOf( Cabecera_opc ) );
      LeerCabeceraOpcional( Cabecera_opc, INFORMACION.Lines );
    end;
  finally
    FS.Free;
  end;
end;

Éste a su vez llama a cada uno de los procedimientos que leen las cabeceras DOS, PE y opcional dentro del mismo EXE:

procedure LeerCabeceraDOS( const h: IMAGE_DOS_HEADER; Memo: TStrings );
begin
  Memo.Add( 'Cabecera DOS del archivo' );
  Memo.Add( Format( 'Número mágico: %d', [h.e_magic] ) );
  Memo.Add( Format( 'Byes de la última página del archivo: %d', [h.e_cblp] ) );
  Memo.Add( Format( 'Páginas en archivo: %d', [h.e_cp] ) );
  Memo.Add( Format( 'Relocalizaciones: %d', [h.e_crlc] ) );
  Memo.Add( Format( 'Tamaño de la cabecera en párrafos: %d', [h.e_cparhdr] ) );
  Memo.Add( Format( 'Mínimo número de párrafos que necesita: %d', [h.e_minalloc] ) );
  Memo.Add( Format( 'Máximo número de párrafos que necesita: %d', [h.e_maxalloc] ) );
  Memo.Add( Format( 'Valor inicial (relativo) SS: %d', [h.e_ss] ) );
  Memo.Add( Format( 'Valor inicial SP: %d', [h.e_sp] ) );
  Memo.Add( Format( 'Checksum: %d', [h.e_csum]));
  Memo.Add( Format( 'Valor inicial IP: %d', [h.e_ip] ) );
  Memo.Add( Format( 'Valor inicial (relativo) CS: %d', [h.e_cs] ) );
  Memo.Add( Format( 'Dirección del archivo de la tabla de relocalización: %d', [h.e_lfarlc] ) );
  Memo.Add( Format( 'Número overlay: %d', [h.e_ovno]));
  Memo.Add( Format( 'Identificador OEM (para e_oeminfo): %d', [h.e_oemid] ) );
  Memo.Add( Format( 'Información OEM; específico e_oemid: %d', [h.e_oeminfo] ) );
  Memo.Add( Format( 'Dirección de la nueva cabecera exe: %d', [h._lfanew] ) );
  Memo.Add( '' );
end;

procedure LeerCabeceraPE( const h: IMAGE_FILE_HEADER; Memo: TStrings );
var
  Fecha: TDateTime;
begin
  Memo.Add( 'Cabecera PE del archivo' );
  Memo.Add( Format( 'Máquina: %4x', [h.Machine]));

  case h.Machine of
    IMAGE_FILE_MACHINE_UNKNOWN : Memo.Add(' Máquina desconocida ' );
    IMAGE_FILE_MACHINE_I386: Memo.Add( ' Intel 386. ' );
    IMAGE_FILE_MACHINE_R3000: Memo.Add( ' MIPS little-endian, 0x160 big-endian ' );
    IMAGE_FILE_MACHINE_R4000: Memo.Add( ' MIPS little-endian ' );
    IMAGE_FILE_MACHINE_R10000: Memo.Add( ' MIPS little-endian ' );
    IMAGE_FILE_MACHINE_ALPHA: Memo.Add( ' Alpha_AXP ' );
    IMAGE_FILE_MACHINE_POWERPC: Memo.Add( ' IBM PowerPC Little-Endian ' );
    $14D: Memo.Add( ' Intel i860' );
    $268: Memo.Add( ' Motorola 68000' );
    $290: Memo.Add( ' PA RISC' );
    else
      Memo.Add( ' tipo de máquina desconocida' );
  end;

  Memo.Add( Format( 'Número de secciones: %d', [h.NumberOfSections] ) );
  Memo.Add( Format( 'Fecha y hora: %d', [h.TimeDateStamp] ) );
  Fecha := EncodeDate( 1970, 1, 1 ) + h.Timedatestamp / SecsPerDay;
  Memo.Add( FormatDateTime( ' c', Fecha ) );

  Memo.Add( Format( 'Puntero a la tabla de símbolos: %d', [h.PointerToSymbolTable] ) );
  Memo.Add( Format( 'Número de símbolos: %d', [h.NumberOfSymbols] ) );
  Memo.Add( Format( 'Tamaño de la cabecera opcional: %d', [h.SizeOfOptionalHeader] ) );
  Memo.Add( Format( 'Características: %d', [h.Characteristics] ) );

  if ( IMAGE_FILE_DLL and h.Characteristics ) <> 0 then
    Memo.Add(' el archivo es una' )
  else
    if (IMAGE_FILE_EXECUTABLE_IMAGE and h.Characteristics) <> 0 then
      Memo.Add(' el archivo es un programa' );

  Memo.Add('');
end;

procedure LeerCabeceraOpcional( const h: IMAGE_OPTIONAL_HEADER; Memo: TStrings );
begin
  Memo.Add( 'Información sobre la cabecera PE de un archivo ejecutable EXE' );
  Memo.Add( Format( 'Magic: %d', [h.Magic] ) );

  case h.Magic of
    $107: Memo.Add( ' Imagen de ROM' );
    $10b: Memo.Add( ' Imagen de ejecutable' );
    else
      Memo.Add( ' Tipo de imagen desconocido' );
  end;

  Memo.Add( Format( 'Versión mayor del enlazador: %d', [h.MajorLinkerVersion] ) );
  Memo.Add( Format( 'Versión menor del enlazador: %d', [h.MinorLinkerVersion]));
  Memo.Add( Format( 'Tamaño del código: %d', [h.SizeOfCode]));
  Memo.Add( Format( 'Tamaño de los datos inicializados: %d', [h.SizeOfInitializedData]));
  Memo.Add( Format( 'Tamaño de los datos sin inicializar: %d', [h.SizeOfUninitializedData]));
  Memo.Add( Format( 'Dirección del punto de entrada: %d', [h.AddressOfEntryPoint]));
  Memo.Add( Format( 'Base de código: %d', [h.BaseOfCode]));
  Memo.Add( Format( 'Base de datos: %d', [h.BaseOfData]));
  Memo.Add( Format( 'Imagen base: %d', [h.ImageBase]));
  Memo.Add( Format( 'Alineamiento de la sección: %d', [h.SectionAlignment]));
  Memo.Add( Format( 'Alineamiento del archivo: %d', [h.FileAlignment]));
  Memo.Add( Format( 'Versión mayor del sistema operativo: %d', [h.MajorOperatingSystemVersion]));
  Memo.Add( Format( 'Versión mayor del sistema operativo: %d', [h.MinorOperatingSystemVersion]));
  Memo.Add( Format( 'Versión mayor de la imagen: %d', [h.MajorImageVersion]));
  Memo.Add( Format( 'Versión menor de la imagen: %d', [h.MinorImageVersion]));
  Memo.Add( Format( 'Versión mayor del subsistema: %d', [h.MajorSubsystemVersion]));
  Memo.Add( Format( 'Versión menor del subsistema: %d', [h.MinorSubsystemVersion]));
  Memo.Add( Format( 'Valor de la versión Win32: %d', [h.Win32VersionValue]));
  Memo.Add( Format( 'Tamaño de la imagen: %d', [h.SizeOfImage]));
  Memo.Add( Format( 'Tamaño de las cabeceras: %d', [h.SizeOfHeaders]));
  Memo.Add( Format( 'CheckSum: %d', [h.CheckSum]));
  Memo.Add( Format( 'Subsistema: %d', [h.Subsystem]));

  case h.Subsystem of
    IMAGE_SUBSYSTEM_NATIVE:
      Memo.Add( ' La imagen no requiere un subsistema. ' );

    IMAGE_SUBSYSTEM_WINDOWS_GUI:
      Memo.Add( ' La imagen se corre en un subsistema GUI de Windows. ' );

    IMAGE_SUBSYSTEM_WINDOWS_CUI:
      Memo.Add( ' La imagen corre en un subsistema terminal de Windows. ' );

    IMAGE_SUBSYSTEM_OS2_CUI:
      Memo.Add( ' La imagen corre sobre un subsistema terminal de OS/2. ' );

    IMAGE_SUBSYSTEM_POSIX_CUI:
      Memo.Add( ' La imagen corre sobre un subsistema terminal Posix. ' );
    else
      Memo.Add( ' Subsistema desconocido.' )
  end;

  Memo.Add( Format( 'Características DLL: %d', [h.DllCharacteristics]) );
  Memo.Add( Format( 'Tamaño de reserva de la pila: %d', [h.SizeOfStackReserve]) );
  Memo.Add( Format( 'Tamaño de trabajo de la pila: %d', [h.SizeOfStackCommit]) );
  Memo.Add( Format( 'Tamaño del Heap de reserva: %d', [h.SizeOfHeapReserve]) );
  Memo.Add( Format( 'Tamaño de trabajo del Heap: %d', [h.SizeOfHeapCommit]) );
  Memo.Add( Format( 'Banderas de carga: %d', [h.LoaderFlags] ) );
  Memo.Add( Format( 'Numeros RVA y tamaño: %d', [h.NumberOfRvaAndSizes] ) );
end;

Espero que os sea de utilidad si os gusta programar herramientas de administración de sistemas operativos Windows.

Pruebas realizadas en Delphi 7.