注释PEMaker6源代码（三）

今天大概看了一下精华8《向PE中注入代码》的译文，之前没有仔细看过，因为发现看过之后对源代码还是不是很明白，所以就没有参照这篇译文进行注释，大多都是自己理解+网上搜索，今天发现很多地方有失误。   大框的地方一定要参照译文，不要被我蒙蔽了。   继续注释CPECryptor类,如下： //在pecrypt.cpp里，我提供了另外一个类――CPECryptor，用它组建新区段的数据。 //然而，新区段的数据是被loader.cpp里的DynLoader()（在DynLoader Step 1中介绍的）创建的。 //因此，我们用CPECryptor类把这些数据（也有其它的数据）输入新区段。 //看完这段翻译基本没懂 const  char *szWindowsAPIs[]= {      "Kernel32.dll",      "GetModuleHandleA",      "VirtualProtect",      "GetModuleFileNameA",      "CreateFileA",      "GlobalAlloc",      "VirtualAlloc",      "LoadLibraryA",      "GetProcAddress",     0,      "User32.dll",      "MessageBoxA",     0,     0, }; //================================================================ //---------------------------------------------------------------- // Function: ReturnToBytePtr // void* FuncNum:   Function Name // DWORD findstr:   String to find // This code was written by FEUERRADER [AHTeam], Thanks him! //在loader.cpp文件中的DynLoader函数里寻找指定字符串，并返回其地址 void* CPECryptor::ReturnToBytePtr( void* FuncName, DWORD findstr) {      void* tmpd;      __asm     {          mov  eax, FuncName          jmp df hjg:     inc  eax df:         mov  ebx, [ eax]          cmp  ebx, findstr          jnz hjg          mov tmpd,  eax     }      return tmpd; } //================================================================ //此函数构建新节及导入表---------------------------------------------------------------- void CPECryptor::CryptFile( int( __cdecl *progress) ( unsigned  int,  unsigned  int)) {     PCHAR ch_temp;     PIMAGE_SECTION_HEADER pimage_section_header;     DWORD dwNewSectionSize;     DWORD dwCodeSize;     DWORD dwCodeOffset;      //进度条控件----------------------------------------     progress(0,0);      //是否DLL      if((image_nt_headers->FileHeader.Characteristics&IMAGE_FILE_DLL)==IMAGE_FILE_DLL)     {          //构造CITMaker类         ImportTableMaker =  new CITMaker(IMPORT_TABLE_OCX);     }      else     {         ImportTableMaker =  new CITMaker(IMPORT_TABLE_EXE);     }      //----------------------------------------      //========================================      //ch_temp指向DYN_LOADER_START_MAGIC之后的地址     ch_temp=(PCHAR)DWORD(ReturnToBytePtr(DynLoader, DYN_LOADER_START_MAGIC))+4;      //计算DynLoader函数代码长度     dwCodeSize=DWORD(ReturnToBytePtr(DynLoader, DYN_LOADER_END_MAGIC))-DWORD(ch_temp);      //自定义导入表大小     dwCodeOffset = ImportTableMaker->dwSize;      //新节大小=DynLoader函数代码长度+自定义导入表大小     dwNewSectionSize = dwCodeSize + ImportTableMaker->dwSize;      //分配空间     pNewSection= new TCHAR[dwNewSectionSize];      //复制DynLoader函数代码到偏移dwCodeOffset的位置之后     memcpy(pNewSection+dwCodeOffset, ch_temp, dwCodeSize);      //========================================      //----------------------------------------      //添加新节，并返回新节指针     pimage_section_header=AddNewSection( ".xxx",dwNewSectionSize);      //----------------------------------------      //========================================      //参数为新节在内存的偏移地址     CopyData1(pimage_section_header->VirtualAddress);      //参数同上，构建自定义导入表     ImportTableMaker->Build(pimage_section_header->VirtualAddress); // build import table by the current virtual address      //构建的导入表在新节数据前，注意相互位置     memcpy(pNewSection, ImportTableMaker->pMem, ImportTableMaker->dwSize);      //========================================      //将新节数据复制到image_section(已经初始化)----------------------------------------     memcpy(image_section[image_nt_headers->FileHeader.NumberOfSections-1],            pNewSection,            dwNewSectionSize);      //入口地址更改为新节的DynLoader函数代码处     image_nt_headers->OptionalHeader.AddressOfEntryPoint=pimage_section_header->VirtualAddress + dwCodeOffset;      //导入表地址更改为新导入表地址     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress=pimage_section_header->VirtualAddress;     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].Size=ImportTableMaker->dwSize;     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress=0;     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].Size=0;     SetSectionsWritePermission();      //----------------------------------------      delete []pNewSection;      delete ImportTableMaker;      //----------------------------------------     progress(100,0); } //这个结构对应DynLoader函数里DYN_LOADER_START_DATA1标志后面的东西，具体 //是自定义结构？请高手指点，本人水平到此，分析不出了 //译文：为了找到OEP的virtual address，我们立即保存原始的OEP和Image Base。 //我在DynLoader()的尾部预留了一块空地来保存它们 typedef  struct {      //保留     DWORD dwReserved1;      //文件类型     DWORD dwFileType;      //基地址     DWORD dwImageBase;      //原始入口点     DWORD dwOrgEntryPoint;      //导入表虚拟地址     DWORD dwImportVirtualAddress;      //重定位表虚拟地址及大小     DWORD dwRelocationVirtualAddress;     DWORD dwRelocationSize;      //TLS     IMAGE_TLS_DIRECTORY32 image_tls_directory; }t_DATA_1,*pt_DATA_1; //此函数将实际数据填充到DynLoader函数指定位置里 void CPECryptor::CopyData1(DWORD dwVirtualAddress) {      int i, API_num;     PCHAR pData1;     DWORD dwOffset;     size_t l;     UCHAR temp;      //为结构分配内存     pt_DATA_1 pDataTable= new(t_DATA_1);      //----------------------------------------      //保留,0xcccccccc应该没有意义     pDataTable->dwReserved1=0xCCCCCCCC;      //如果为DLL，填入文件类型      if((image_nt_headers->FileHeader.Characteristics&IMAGE_FILE_DLL)==IMAGE_FILE_DLL)         pDataTable->dwFileType=IMPORT_TABLE_OCX;      else         pDataTable->dwFileType=IMPORT_TABLE_EXE;      //填充镜像首地址     pDataTable->dwImageBase=image_nt_headers->OptionalHeader.ImageBase;      //填充入口点     pDataTable->dwOrgEntryPoint=image_nt_headers->OptionalHeader.AddressOfEntryPoint;      //填充导入表地址(RVA)     pDataTable->dwImportVirtualAddress=image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress;      if((image_nt_headers->FileHeader.Characteristics&IMAGE_FILE_DLL)==IMAGE_FILE_DLL)     {          //如果是DLL，填充重定位表         pDataTable->dwRelocationVirtualAddress=image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress;         pDataTable->dwRelocationSize=image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].Size;     }      //前面已经将DynLoader函数读入我们申请的内存中----------------------------------------      //故在pNewSection指向的内存中找到DYN_LOADER_START_DATA1标志，返回地址     pData1=(PCHAR)ReturnToBytePtr(pNewSection, DYN_LOADER_START_DATA1);      //看了好几个TLS了，是什么？      //通过使用线程本地储存（TLS），一个程序能够执行多线程程序，      //这样子的程序大多数是用Borland链接器：Delphi和C++, Builder.       //当你包装一个PE文件时，你应该小心的清空TLS，      //否则，你的打包器就不支持Borland Delphi 和 C++ Builder链接的EXE文件。      //修正可选头部TLS目录入口是很有必要的。      if(image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_TLS].VirtualAddress!=0)     {          //image_tls_directory定义在pelib.cpp中         memcpy(&pDataTable->image_tls_directory,                 image_tls_directory,                  sizeof(IMAGE_TLS_DIRECTORY32));         dwOffset=DWORD(pData1)-DWORD(pNewSection);          //计算偏移         dwOffset+= sizeof(t_DATA_1)- sizeof(IMAGE_TLS_DIRECTORY32);          //更新文件头，指向新的TLS表          //传递的参数在这里应用         image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_TLS].VirtualAddress=dwVirtualAddress + dwOffset;     }      //替换为实际数值----------------------------------------     memcpy(pData1,pDataTable, sizeof(t_DATA_1));     dwOffset= sizeof(t_DATA_1);     i=API_num=0;     temp=0;      //循环填充实际数值      do     {         l=strlen(szWindowsAPIs[i])+1;          //复制动态库名         memcpy(pData1+dwOffset,szWindowsAPIs[i],l);          //偏移长度         dwOffset+=l;          do         {             i++;              if(szWindowsAPIs[i]!=0)             {                  //复制下一个函数名                 l=strlen(szWindowsAPIs[i])+1;                 memcpy(pData1+dwOffset,szWindowsAPIs[i],l);                 dwOffset+=l;                  //API数量                 API_num++;             }              else             {                  //放置0                 CopyMemory(pData1+dwOffset,&temp,1);                 dwOffset++;             }         } while(szWindowsAPIs[i]!=0);         i++;     }      while(szWindowsAPIs[i]!=0);      //----------------------------------------      delete pDataTable; } //---------------------------------------------------------------- void CPECryptor::SetSectionsWritePermission() {      for( int i=0;i<image_nt_headers->FileHeader.NumberOfSections;i++)     {          //设置所有表的标志         image_section_header[i]->Characteristics=0xC0000040;     } } //----------------------------------------------------------------