一:PE中增加节
使用工具为:、、CFF、OD
List item
先用查看节表部分是否足够长度加入新的节表目录
从图中看出,节表后面还有空余地方,可存放新增目录项
用查看PE头部信息,增加一节,在中修改新增节表的属性
原始PE头信息:可得原始节表中有9项
修改节表项数为10节
然后点击按钮,在里面修改新增节的相关属性(这里的相关原理有兴趣可自行了解)
进去后可看见最后一节表项名字和其他相关数据均为 0 ;
右键进入修改,修改项目为 Flags
修改后记得Save
用 CFF 修改新增节的节名,和相关的偏移,偏移量的大小需要参照PE头中规定的内存对齐和文件对齐(节名等信息也可以在中的修改,这里使用CFF软件,界面更清晰)
·这里定义新增的节名为 .liang
·节大小为0x200(为了方便展示,0x两百刚刚好为文件的最小对其,内存的对其为,对其信息在PE头信息的 和中)
·根据前面的信息可得.liang节的相关偏移量:
例如:
.reloc节大小为65C,虚拟地址:22000
该节最后偏移地址为 22000 + 65C = 2265C
内存对其为1000,得:最终.liang节开始地址为23000(也是.reloc 的最后位置)
·其他数据同理可的
从上一步得:新增节的大小为0x200,则需要用 在文件的末尾加0x200的0字符(节表相当于目录,文件末尾的添加内容相当于目录对应的内容)
举例:
添加节表项内容,相当于在书本目录最后,增加了书本中的目录项,但是真实书本的最后,却还没有增页 。
这一步我们要做的就是在书本最后增加页
使用工具 :
上图得文件末尾地址为:C400
具体步骤:
编辑 -> 插入 -> 插入字节(这里选择填入全为 0 的数据)
成功插入0x200个 0的数据
用修改映像大小(),手动修改,原大小+新增0x200;
(自动修改,在中,点击,如果新增节中的地址偏移已经算好并且填入,退出时,会自动修改的映像大小)
![【exe加壳:修改可执行文件的PE头,增加一节,修改程序入口地址为该节】](http://img.gansulong.com/230618/1T63J960-0.jpg)
文章插图
原映像大小为,新增后,大小为
保存并且退出,至此,PE增加节部分的工作已经完成 。
二:修改程序入口地址
此程序为开启了随机地址的模式;
(固定地址模式的修改较为简单,可自行推导)
查看原程序的入口地址(OI)
打开OD 找到原程序入口地址(OE)
在OD中拉到最后,找到一连串的ADD指令,因为填充的0x200个 0,汇编指令机器码刚好对应于ADD;
OD中第一条ADD指令地址 (A1),A1 - OE = E1
在中把原入口地址修改为:OI + E1
注意上述地址的符号
保存并退出后,可再次打开 .exe,发现程序运行了一会儿后,出现错误
三:在新节中把控制权交回给原程序
分析第二部分最后的原因得:程序打开后,运行了一堆的ADD指令后,不再有其他的操作,导致程序崩溃;
使用OD:
我们可以修改第一条ADD指令,使用 jmp 跳转指令直接跳转到原程序入口点(OE)
大功告成,可在新增节中增加很多其他操作,此部分即为程序的壳 。
【【exe加壳:修改可执行文件的PE头,增加一节,修改程序入口地址为该节】】后续更新…
- 锦鲤养殖卖给谁?
- 揭秘:后蜀的开国皇帝孟知祥建国都在何处?
- 【macOS】mac电脑M2芯片安装Homebrew 最简单的方法
- 盘点:唐朝历史上有哪些外国使者来到中国交流
- 无土种蔬菜的方法
- NS3安装步骤【MAC系统】
- 康熙喜欢的女子是谁?一辈子不洗澡
- 昭明太子萧统的父亲是谁?萧统是怎么死的
- 太平天国的韦俊投降清朝后为什么没被杀?
- 31.区块链“不可能三角”