Lecture d'Offset d'un fichier

Version imprimable

30/09/2013, 15h32
puke502

Lecture d'Offset d'un fichier

Hello;)

je suis débutant en C#, et je galère comme tous les débutants ..:cry:

je veux recup des données dans un fichier

ces données sont du type USTR ou DWORD avec une taille de 4a60 octects et se trouvant a l'offset 0x0010 par exemple

j'ai du mal a capter .. quelqu'un pourrait m'expliquer le principe ou l'algo pour ce genre de traitement ?

Merci :ccool:
30/09/2013, 17h06
morgand

Salut,

C'est assez simple, tu as de la Data écrit en binaire dans un fichier que tu dois lire via un BinaryReader.

Une position => la position de ton curseur de lecture (il correspond à la position d'un Byte)
Un Offset => c'est un décalage. En gros si tu veux dire que tu veux te positionner à +100 bytes depuis le début du fichier tu vas écrire :

Code:

monBinaryReader.Seek(Begin, 100);

Tu vas te positionner depuis le début du fichier (Begin étant un enum) à +100 byte vers l'avant.

En suite il faut connaître les types que tu utilises et leurs tailles:
int : 4 bytes
long : 8 bytes
...
String : variables en fonction de la chaine avec une entête qui permet de connaitre la taille. La fonction ReadString() d'un BinaryReader le fait bien ;)
Pour le string ce n'est peut être pas tout à fait exact mais le principe est là.

Ensuite si tu sais comment est écrite ta Data alors il te sera facile de la lire.
30/09/2013, 18h56
puke502

ok merci je vois un peu plus le truc ... meme si de coder ensuite c'est autre chose lol ;)

par contre si on me dit

offset 0x0010 ou 0x004C : c'est un décalage de combien ? on peut monBinaryReader.Seek(Begin, 0x004C) ?

le Bégin c'est toujours 000000000 ?

Merci !
30/09/2013, 19h29
morgand

Le Begin c'est la position 0 c'est sur...

Pour ce qui est de ton OffSet, c'est écrit en Hexa il faut donc décoder.

0x004C = 76

Tu as des méthodes pour le faire dans l'API DotNet.
02/10/2013, 21h22
puke502

omfg

j'arrive pas..:cry:

•OS Version: Offset 00, Length of 4 bytes (LE) •0000001A: Windows 8

•File header: Offset 04, Length of 4 bytes •SCCA (0×53, 0×43, 0×43, 0×41)

•Last executed time: Offset 120, Length of 8 bytes (LE), Windows Filetime format

•Executed count: Offset 208, length of 4 bytes (LE)

j'ouvre le fichier avec un editeur hexa et je vois pas le rapport ..:?

si quelqu'un peut m'expliquer.. merci :)
03/10/2013, 10h47
tomlev

Citation:

Envoyé par morgand

Pour ce qui est de ton OffSet, c'est écrit en Hexa il faut donc décoder.

0x004C = 76

Bah non, pourquoi veux-tu décoder ? Tu peux très bien écrire la valeur hexa dans le code C#...

Citation:

Envoyé par puke502

j'arrive pas..:cry:

•OS Version: Offset 00, Length of 4 bytes (LE) •0000001A: Windows 8

•File header: Offset 04, Length of 4 bytes •SCCA (0×53, 0×43, 0×43, 0×41)

•Last executed time: Offset 120, Length of 8 bytes (LE), Windows Filetime format

•Executed count: Offset 208, length of 4 bytes (LE)

j'ouvre le fichier avec un editeur hexa et je vois pas le rapport ..:?

si quelqu'un peut m'expliquer.. merci :)

Tu peux montrer le début du contenu du fichier (en hexa) ?
03/10/2013, 12h33
puke502

salut :)

je pense que ca serait plus simple que tu regardes directement? c'est la structure de n'importe qu'elle fichier *.pf dans le répertoire c:\windows\prefetch\

au pire je peux copier coller ici mais ca risque d'etre assez gros est pas trop lisible ?

merci :ccool:
03/10/2013, 14h59
tomlev

Citation:

j'ouvre le fichier avec un editeur hexa et je vois pas le rapport ..

J'ai regardé de mon côté, ça n'a pas l'air de correspondre tout à fait à la description de format que tu as posté... Par exemple pour moi ce n'est pas une date à l'offset 120, je sais pas trop ce que c'est... par contre juste après il y a plusieurs champs qui semblent être des dates (au format FILETIME)

La structure du fichier a peut-être évolué au fil des versions...
03/10/2013, 16h42
puke502

sorry c'etait pour du windows 8 tu as peut etre 7 ?
en tout cas je comprends pas..ca semble etre les valeurs a jours..:calim2:
(LE) tu sais ce que ca veut dire?

Citation:

Windows XP

•OS Version: Offset 00, length of 4 bytes (LE)
•0×00000011: Windows XP
•File header: Offset 04, length of 4 bytes
•SCCA (0×53, 0×43, 0×43, 0×41)
•Unicode filename: Offset 16, length of 30 bytes
•Last executed time: Offset 120, length of 8 bytes (LE), Windows Filetime format
•Executed count: Offset 144, length of 4 bytes (LE)
•VolumeID:
•Reference to Forensicwiki, Offset 108, length of 4 bytes points to the offset of section D of the prefetch file.
•Volume ID is located at Offset of section D + 16 bytes, for a length of 4 bytes

Windows Vista

•OS Version: Offset 00, Length of 4 bytes (LE)
•00000017: Windows Vista
•File header: Offset 04, Length of 4 bytes
•SCCA (0×53, 0×43, 0×43, 0×41)
•Unicode filename: Offset 16, Length of 30 bytes
•Last executed time: Offset 120, Length of 8 bytes (LE), Windows Filetime format
•Executed count: Offset 152, length of 4 bytes (LE)
•VolumeID:
•Reference to Forensicwiki, Offset 108, length of 4 bytes points to the offset of section D of the prefetch file.
•Volume ID is located at Offset of section D + 16 bytes, for a length of 4 bytes

Windows 7

•OS Version: Offset 00, Length of 4 bytes (LE)
•00000017: Windows 7
•File header: Offset 04, Length of 4 bytes
•SCCA (0×53, 0×43, 0×43, 0×41)
•Last executed time: Offset 120, Length of 8 bytes (LE), Windows Filetime format
•Executed count: Offset 152 length of 4 bytes (LE)
•VolumeID:
•Reference to Forensicwiki, Offset 108, length of 4 bytes points to the offset of section D of the prefetch file.
•Volume ID is located at Offset of section D + 16 bytes, for a length of 4 bytes

Windows 8

•OS Version: Offset 00, Length of 4 bytes (LE)
•0000001A: Windows 8
•File header: Offset 04, Length of 4 bytes
•SCCA (0×53, 0×43, 0×43, 0×41)
•Last executed time: Offset 120, Length of 8 bytes (LE), Windows Filetime format
•Executed count: Offset 208, length of 4 bytes (LE)
•VolumeID:
•Reference to Forensicwiki, Offset 108, length of 4 bytes points to the offset of section D of the prefetch file.
•Volume ID is located at Offset of section D + 16 bytes, for a length of 4 bytes
03/10/2013, 17h23
tomlev

Citation:

Envoyé par puke502

sorry c'etait pour du windows 8 tu as peut etre 7 ?

Non, j'ai bien Win8

Citation:

Envoyé par puke502

en tout cas je comprends pas..ca semble etre les valeurs a jours..:calim2:

Bah en tout cas ça correspond pas tout à fait à ce que j'observe...

Citation:

Envoyé par puke502

(LE) tu sais ce que ca veut dire?

A priori c'est pour Little Endian (cf. Wikipedia)
03/10/2013, 18h18
puke502

ca me rassure .. car j'arrivais pas a comprendre le rapport avec l'écrit et la pratique lol:roll:

peut etre que d'un OS FR ou US ca change?

si quelqu'un arrive a trouver la solution ... je suis preneur ca fait +1semaine que je cherche ..
03/10/2013, 23h11
tomlev

Le problème c'est que si je comprends bien, il n'y a pas de spécifications "officielles" sur le format du fichier, donc toutes les infos qu'on trouve à ce sujet ont été déduites par reverse engineering...

Quel est ton objectif au juste ? Il y a peut-être d'autres moyens d'y arriver...
04/10/2013, 10h07
puke502

je voulais recuperer pour chaque fichier *.pf

le nom de l'executable
le nombre de fois qu'il a ete lancé avec la date du "last run"
et les dll qu'il a chargé

j'ai plus au moins trouvé pour le nom de fichier mais le plus complexe c'est pour trouver l'offset de la section C qui donne les Infos sur les DLL chargé etc

pour le nombre d'executions et le last run j'avance pas vite :lol::roll:

Voilà un code qui marche sous Windows 8 (enfin en tous cas ça marche pour moi) :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
void Main()
{
    string path = @"C:\Windows\Prefetch\NOTEPAD.EXE-D8414F97.pf";
    using (var stream = File.OpenRead(path))
    using (var reader = new BinaryReader(stream))
    {
        // Nom de l'exécutable
        stream.Seek(0x10, SeekOrigin.Begin);
        string name = ReadString(reader, 60, Encoding.Unicode);
 
        // Offset et longueur de la section C
        stream.Seek(0x64, SeekOrigin.Begin);
        int offsetToSectionC = reader.ReadInt32();
        int lengthOfSectionC = reader.ReadInt32();
 
        // Dernière exécution
        stream.Seek(0x80, SeekOrigin.Begin);
        DateTime lastExecutionDate = ReadFileTime(reader);
 
        // Nombre d'exécutions
        stream.Seek(0xD0, SeekOrigin.Begin);
        int executionCount = reader.ReadInt32();
 
        // Contenu de la section C
        stream.Seek(offsetToSectionC, SeekOrigin.Begin);
        string sectionC = ReadString(reader, lengthOfSectionC, Encoding.Unicode);
        string[] loadedFiles = sectionC.Split('\0');
    }
}
 
static string ReadString(BinaryReader reader, int length, Encoding encoding)
{
    var bytes = reader.ReadBytes(length);
    return encoding.GetString(bytes).TrimEnd('\0');
}
 
static DateTime ReadFileTime(BinaryReader reader)
{
    var bytes = reader.ReadBytes(8);
    long time = BitConverter.ToInt64(bytes, 0);
    return DateTime.FromFileTime(time);
}

La section C est supposée contenir quoi exactement ? Apparemment c'est surtout les chemins physiques des DLL chargées par le programme, mais ça contient aussi des chemins de fichiers qui ont été ouverts récemment dans l'application (par exemple des fichiers texte pour notepad.exe)

04/10/2013, 11h37
puke502

wow superbe si ca fonctionne ! :lol:
je teste ca des que je suis chez moi MERCI !! ;)

la section C est comme la D d'apres ce que j'ai cru comprendre que des chemins dll + fichiers avec les volumes
04/10/2013, 11h42
tomlev

Citation:

Envoyé par puke502

la section C est comme la D d'apres ce que j'ai cru comprendre que des chemins dll + fichiers avec les volumes

Bah d'après ce que j'ai vu ça n'a pas la même structure que la section D (décrite ici). La section C contient juste une succession de chemins de fichiers terminés par un caractère nul. La section D a une structure un peu plus complexe...
04/10/2013, 13h24
puke502

je retrouve pas un autre article que j'avais vu ..
et je me suis peut être trompé ..en tout cas ton bout de code fonctionne a la perfection !!! MERCI BEAUCOUP :ccool::mouarf::lol:
04/10/2013, 14h36
morgand

Citation:

Envoyé par tomlev

Bah non, pourquoi veux-tu décoder ? Tu peux très bien écrire la valeur hexa dans le code C#...

Je suis d'accord avec toi mais je voulais que puke502 comprenne en voyant que ça correspond à un chiffre humainement compréhensible.