原理很简单:就是“借尸还魂”,启动一个僵尸进程(NT下可以是自身 程序 启动的另一个进程),然后在它运行前将其整个替换成内存中的exe内容,待正式运行后执行的就是你的 目标 代码了。
不过代码中还有一些不尽人意的地方,比如在98下运行会留一个僵尸程序的壳在硬盘上(其实那个僵尸程序本身就是一个完整的可执行程序,直接运行的话只显示一条错误信息然后就退出了)。另外由于客观条件限制,代码没有经过充分测试,只在XP下进行了一些初步测试:普通exe都能正常运行,upx压缩过的exe绝大多数情况下都能运行,只有在不能卸载僵尸外壳时才有问题(upx压缩过的exe没有重定向表,无法加载到其它地址运行)。
如果有bug望告之,如果有更好的方法特别是能解决98下的遗留尾巴的话希望不吝赐教。
---------------------------------------------------------------------------------------
小弟没有翻译Win98下处理的方法,请大家参考原文:)
// MemPE.cpp : Defines the entry point for the DLL application.
//
#include "stdafx.h"
typedef IMAGE_SECTION_HEADER (*PIMAGE_SECTION_HEADERS)[1];
// 计算对齐后的大小
unsigned long GetAlignedSize(unsigned long Origin, unsigned long Alignment)
{
return (Origin + Alignment - 1) / Alignment * Alignment;
}
// 计算加载pe并对齐需要占用多少内存
// 未直接使用OptionalHeader.SizeOfImage作为结果是因为据说有的编译器生成的exe这个值会填0
unsigned long CalcTotalImageSize(PIMAGE_DOS_HEADER MzH, unsigned long FileLen,
PIMAGE_NT_HEADERS peH, PIMAGE_SECTION_HEADERS peSecH)
{
unsigned long res;
// 计算pe头的大小
res = GetAlignedSize(peH->OptionalHeader.SizeOfHeaders, peH->OptionalHeader.SectionAlignment);
// 计算所有节的大小
for(int i=0; i < peH->FileHeader.NumberOfSections; ++i)
{
if(peSecH[i]->PointerToRawData + peSecH[i]->SizeOfRawData>FileLen){// 超出文件范围
return 0;
}
else if(peSecH[i]->VirtualAddress){//计算对齐后某节的大小
if(peSecH[i]->Misc.VirtualSize){
res = GetAlignedSize(peSecH[i]->VirtualAddress + peSecH[i]->Misc.VirtualSize,
peH->OptionalHeader.SectionAlignment);
}
else{
res = GetAlignedSize(peSecH[i]->VirtualAddress + peSecH[i]->SizeOfRawData,
peH->OptionalHeader.SectionAlignment);
}
}
else if(peSecH[i]->Misc.VirtualSize < peSecH[i]->SizeOfRawData){
res += GetAlignedSize(peSecH[i]->SizeOfRawData, peH->OptionalHeader.SectionAlignment);
}
else{
res += GetAlignedSize(peSecH[i]->Misc.VirtualSize, peH->OptionalHeader.SectionAlignment);
}
}
return res;
}
// 加载pe到内存并对齐所有节
BOOL AlignPEToMem(void *Buf, long Len, PIMAGE_NT_HEADERS &peH, PIMAGE_SECTION_HEADERS &peSecH,
void *&Mem, unsigned long &ImageSize)
{
PIMAGE_DOS_HEADER SrcMz; // DOS头
PIMAGE_NT_HEADERS SrcPeH; // PE头
PIMAGE_SECTION_HEADERS SrcPeSecH; // 节表
SrcMz = (PIMAGE_DOS_HEADER)Buf;
if(Len < sizeof(IMAGE_DOS_HEA
从内存中加载并运行exe (c)
最新推荐文章于 2016-08-25 21:36:10 发布
本文介绍了一种技术,通过启动一个僵尸进程,然后在它运行前将其替换为内存中的exe内容,实现从内存中加载并运行exe。这种方法在Windows XP下进行了测试,但对于Windows 98可能会留下残留的僵尸程序。代码示例展示了如何计算内存对齐、加载PE到内存以及处理重定位表。最后,提供了一个简单的测试程序来演示如何应用这些技术。
摘要由CSDN通过智能技术生成