【exe加壳：修改可执行文件的PE头，增加一节，修改程序入口地址为该节】 _修改

一：PE中增加节
使用工具为：、、CFF、OD
List item
先用查看节表部分是否足够长度加入新的节表目录
从图中看出，节表后面还有空余地方，可存放新增目录项
用查看PE头部信息，增加一节，在中修改新增节表的属性
原始PE头信息：可得原始节表中有9项
修改节表项数为10节
然后点击按钮，在里面修改新增节的相关属性（这里的相关原理有兴趣可自行了解）
进去后可看见最后一节表项名字和其他相关数据均为 0 ；
右键进入修改，修改项目为 Flags
修改后记得Save
用 CFF 修改新增节的节名，和相关的偏移，偏移量的大小需要参照PE头中规定的内存对齐和文件对齐（节名等信息也可以在中的修改，这里使用CFF软件，界面更清晰）
·这里定义新增的节名为 .liang
·节大小为0x200（为了方便展示，0x两百刚刚好为文件的最小对其，内存的对其为，对其信息在PE头信息的和中）
·根据前面的信息可得.liang节的相关偏移量：
例如：
.reloc节大小为65C，虚拟地址：22000
该节最后偏移地址为 22000 + 65C = 2265C
内存对其为1000，得：最终.liang节开始地址为23000（也是.reloc 的最后位置）
·其他数据同理可的
从上一步得：新增节的大小为0x200,则需要用在文件的末尾加0x200的0字符（节表相当于目录，文件末尾的添加内容相当于目录对应的内容）
举例：
添加节表项内容，相当于在书本目录最后，增加了书本中的目录项，但是真实书本的最后，却还没有增页。
这一步我们要做的就是在书本最后增加页
使用工具：
上图得文件末尾地址为：C400
具体步骤：
编辑 -> 插入 -> 插入字节（这里选择填入全为 0 的数据）
成功插入0x200个 0的数据
用修改映像大小（），手动修改，原大小+新增0x200；
（自动修改，在中，点击，如果新增节中的地址偏移已经算好并且填入，退出时，会自动修改的映像大小）

文章插图
原映像大小为，新增后，大小为
保存并且退出，至此，PE增加节部分的工作已经完成。
二：修改程序入口地址
此程序为开启了随机地址的模式；
（固定地址模式的修改较为简单，可自行推导）
查看原程序的入口地址（OI）
打开OD 找到原程序入口地址（OE）
在OD中拉到最后，找到一连串的ADD指令，因为填充的0x200个 0，汇编指令机器码刚好对应于ADD；
OD中第一条ADD指令地址（A1），A1 - OE = E1
在中把原入口地址修改为：OI + E1
注意上述地址的符号
保存并退出后，可再次打开 .exe，发现程序运行了一会儿后，出现错误
三：在新节中把控制权交回给原程序
分析第二部分最后的原因得：程序打开后，运行了一堆的ADD指令后，不再有其他的操作，导致程序崩溃；
使用OD：
我们可以修改第一条ADD指令，使用 jmp 跳转指令直接跳转到原程序入口点（OE）
大功告成，可在新增节中增加很多其他操作，此部分即为程序的壳。
【【exe加壳：修改可执行文件的PE头，增加一节，修改程序入口地址为该节】】后续更新…