一种基于PE文件的信息隐藏模型

赵 健

四川大学计算机学院，四川 成都 610064

0 引言

信息隐藏技术是20世纪90年代中期从国外兴起的，集多学科理论与技术于一身的新兴技术。它利用人类感觉器官的不敏感，以及多媒体数字信号本身存在的冗余，将秘密信息隐藏在一个宿主信号中，不被人的感知系统察觉或不被注意到，而且不影响宿主信号的感觉效果和使用价值[1]。与密码术相比，信息隐藏不仅隐藏了信息的内容，而且隐藏了信息的存在，因而在信息安全领域显示出更为优良的特性。信息隐藏技术主要的性能指标包括隐蔽性、嵌入量和稳健性[2]。

信息隐藏的载体多种多样，但目前人们主要用图像、音视频等多媒体文件来作为隐藏载体，目前研究多媒体文件的隐写分析算法以及研究对其进行隐藏攻击的算法越来越多，再加上多媒体文件种类众多且相互之间的转换较为频繁，在转换过程中很有可能会导致嵌入信息全部或部分的丢失。相对而言，PE格式的EXE文件结构尽管比较复杂，但格式相对单一，没有不同文件格式间的相互转化。故将PE格式的文件作为隐藏载体可较好的解决部分信息丢失的问题。目前以PE文件作为信息隐藏的载体的相关研究还较少，更鲜有相关商品化的软件推出。

1 PE文件格式

PE（Portable Executable）文件格式是Microsoft制定的一种文件标准。它是Win32环境自身所带的执行体文件格式。它由DOS部首、PE文件头、节表、节数据、调试信息5部分组成。其总体层次分布[3]如图1所示：

图1 PE文件结构

经分析，在PE格式文件中，有些成员变量的值不影响程序的正常加载和运行，还有一些未经利用的空闲区域，它们都可以用来嵌入信息。经总结，PE文件中的冗余空间大致可有以下几类：

1）改变其值不影响程序正常运行的一些成员变量；

2）PE文件头和DOS部首之间的空闲区域；

3）磁盘偏移最小的节和PE文件头之间的空闲区域；

4）PE文件的每个节中未被利用的空间；

5）文件末尾最后一个节除去实际占用的空间所剩下的空闲区域；

6）资源节中存在的4种冗余[5]。

2 高级加密标准

2.1 AES简介

AES即Advanced Encryption Standard，高级加密标准。是NIST（National Institute of Standards Technology）于1997年开始向世界范围内征集的加密算法，用于替代DES成为新一代的加密标准。这个加密算法是分组加密算法，信息的内容是以128位长度的分组为加密单元，加密密匙长度有128，192和256位3种选择，分别称作AES-128、AES-192AES-256。下面提到的AES，如无特别声明，专指FIPS-197中规定的AES算法。

AES算法的基本处理单元叫做字节，它由8比特序列组成，被看成一个整体。在AES中，这些字节以有限域上的多项式来表示：

其中，bi(i≤i≤7)分别代表了一个字节的8个比特位。

AES的所有操作都是在一个称作状态矩阵的二维字节数组上进行的。该结构具有4个行，每行包括Nb个字节，它的值是由分组长度除以32得到的。在AES算法中，输入输出分组和状态矩阵的长度都是128比特，则Nb=4。密钥K的长度为128、192、256比特，用Nk=4、6或者8来表示。加密或者解密函数需执行的轮数取决于密钥的长度。轮数用Nr表示，当Nk=4时，Nr=10；当Nk=6时，Nr=12；Nk=10时，Nr=14。

不管是AES的加密还是解密操作，都要反复用到轮函数操作。轮函数由4部分相对独立的变换组成：

1）字节代换操作（SubBytes）。实际上是一个简单的查表操作，AES定义了一个16×16的转换表（S-box），通过查表状态矩阵中的元素映射为一个新的字节；

2）行移位操作(ShiftRow)。对状态矩阵每行的元素进行不同偏移量的移位。其规则是：状态矩阵第一行保持不变，第二、三、四行分别循环左移1个、2个、3个字节；

3）列混淆操作(MixColumn)。它把状态矩阵中的每一列当成一个在GF（28）上的多项式，然后乘以一个固定的多项式a（ x），再对多项式(x4+1)取模。其中a（ x）定义如下：

4）轮密钥加操作(AddRoundKey)。轮密钥加操作是将状态矩阵中的元素同轮密钥进行的简单的异或运算。这里的轮密钥是由用户输入的密钥通过密钥扩展后生成的，它同样可以看作一个状态矩阵。

2.2 加密过程

开始加密时，首先将输入按时间顺序填入状态矩阵，先进行一个初始的轮密钥加操作，然后根据密钥长度执行相应的Nr次轮函数对状态矩阵进行变换。其中最后一轮操作稍许不同，没有列混淆操作。最终得到的状态矩阵按顺序将元素取出，就是最后的密文。整个加密过程可用伪代码表示如下[4]：

2.3 解密过程

AES算法的解密算法是加密算法的逆过程。它也要执行轮函数变换，只不过这个轮函数的每一个组成变换都是加密过程的逆运算：“字节代换逆变换操作InvSubBytes()、行移位逆变换操作InvShiftRows()、列混淆逆变换操作InvMixColumns()、和轮密钥加逆变换操作AddRoundKey()”等四个变换。

3 模型概述

3.1 基于PE文件的信息隐藏模型

目前，流行的信息隐藏的一般模型如图2所示：

图2 信息隐藏的一般模型

隐藏过程：为加强整个系统的安全性，首先对消息M做加密或者置乱等预处理，这样形成消息M1，然后用一个隐藏嵌入算法和密钥Kl把预处理后的消息M，隐藏到载体C中，从而得到隐蔽载体S。

提取过程：用提取算法和密钥K2从隐蔽载体S中提取消息M1，，然后使用相应的解密或重置等处理方法由M1恢复出真正的消息M。如果Kl=K2，那么可以说这个隐藏嵌入算法是对称隐藏算法，否则称这个算法为非对称隐藏算法。

载体C可以是文本、声音、图像和视频，隐藏嵌入算法可以是空域方法及变换域方法。

在我们的系统中，载体文件C采用PE文件，预处理中的加密算法采用AES算法。其加密和的流程图如图3。

信息的提取过程是嵌入过程的逆过程，采用提取算法将隐藏信息提取出来之后，再对其进行解密。

图3 加密流程图

3.2 模型实现

在基于PE文件实现信息隐藏方案的基础上，本文在VC6.O中进行模拟实现。本方案以Windows XP下的系统文件“freecell.exe”为例进行分析，在下图4的“PE文件”中通过浏览读取PE文件，程序会自动分析出该文件的结构信息。

图4 PE文件分析后的系统界面

本文选用文本文件test.txt作为实验用的隐藏文件，通过上图的“导入文件”，程序要先对文本文件text.txt进行加密，然后嵌入到PE文件中，通过“导出文件”，可提出所隐藏的信息并对之进行解密。

运行隐藏信息之后的freecell.exe，可以看到，它可以正常运行，和隐藏信息之前的运行结果并无区别。这说明隐藏的信息不影响源文件的正常执行。

在本模型中，应用了高级加密标准AES对隐藏的信息进行了预处理。相较DES算法，AES无论在速度还是在保密性方面都具有优越性。

4 结论

PE格式是当今个人电脑上最普及的文件格式之一，本文首先分析了Win32 PE文件的基本结构，分析结果表明了PE格式文件具有大量的冗余空间。在此基础上，根据信息隐藏的一般模型，本文提出了基于PE文件的信息隐藏模型，模型中采用了AES对嵌入信息进行加密和解密，以进一步提高其安全性。经试验证明该模型可以保证信息的隐藏和提取，且嵌入后的载体文件可以正常运行，具有较好的隐藏效果。

[1]王炳锡，彭天强.信息隐藏技术[M].国防工业出版社，2007：1-2.

[2]王朔中，张新鹏，张开文.数字密写和密写分析[M].北京：清华大学出版社，2005，10-11.

[3]Microsoft Corporation.Microsoft Portable Exeeutable and Common Objeet File Format Specification，Revision6.0[EB/OL]，1999，2.

[4]Ntional Institute of Standards and Technology(NIST).Advanced Encryption Standard(AES).Federal Information Processing Standards(FIPS) Publication 197，2001，11.

[5]徐晓静,徐向阳,梁海华,黄友荣.PE文件资源节的信息隐藏研究与方案实现[J].计算机应用，2007，27(3)：621-623.