做了一个Dump exe文件的工具

最新推荐文章于 2024-08-16 16:20:58 发布
最新推荐文章于 2024-08-16 16:20:58 发布
阅读量4.1k 收藏 1
点赞数 3
分类专栏： C/C++ 加密 PE文件
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_19459853/article/details/52072772
版权
C/C++ 同时被 3 个专栏收录
25 篇文章 1 订阅
订阅专栏
加密
5 篇文章 0 订阅
订阅专栏
PE文件
5 篇文章 0 订阅
订阅专栏

为了加深对PE文件的理解，以及和进程有关的WIN32 API的应用，就做出了这么一个东西。DUMP的话只需要DUMP出DOS头 + PE头 + 区块即可。

#include "stdafx.h"
typedef struct 
{
	WORD e_magic;
	char Data[23 + sizeof(DWORD) * 3];
	LONG e_lfanew;
}Dos,*pDos;
int GetPageSize(void) /* 获取内存页大小 */
{
	SYSTEM_INFO SystemInformation;
	GetSystemInfo(&SystemInformation);
	return SystemInformation.dwPageSize;
}
int main(void)
{
	HANDLE Handle;
	PROCESSENTRY32W pe;
	LPPROCESSENTRY32W ppe;
	CHAR szExeFile[MAX_PATH];
	CHAR szExePath[MAX_PATH];
	MODULEENTRY32W ModuleEntry32W;
	HANDLE ProcessHandle;
	DWORD old;
	HANDLE Process;
	HANDLE hFile;
	HANDLE hMap;
	FILE *File;
	CHAR szDumpedFileName[MAX_PATH];
	DWORD Oep;
	DWORD CodeBaseAddr_;
	DWORD DataBaseAddr_;
	DWORD pBuf;
	PIMAGE_NT_HEADERS32 pNtHeaders32;
	PIMAGE_DOS_HEADER pDosHeader;
	PIMAGE_SECTION_HEADER pSecHeader;
	PIMAGE_SECTION_HEADER pSec;
	pDos MyDosHeader;
	char Msg[] = " DumpExeFile Coded by yeeeee           ";
	unsigned char Buffer[8192] = {0};
	unsigned char *pSectionBuffer;
	unsigned char *pBuffer;
	int Number;
	char IsXz[123];
	int num;
	int Num;
	int size;
	int i;
	Num ^= Num;
	Number ^= Number;
	/* 获取进程数量 */
	SetConsoleTitleW(L"DumpExeFile Coded by yeeeee QQ群:Alg & Sec lab of China 群号:254394017");
	Handle = CreateToolhelp32Snapshot(TH32CS_SNAPALL,NULL);
	if(Handle == INVALID_HANDLE_VALUE)
	{
		puts("创建快照失败!");
		goto Exit;
	}
	pe.dwSize = sizeof(PROCESSENTRY32W);
	if(!Process32FirstW(Handle,&pe))
	{
		puts("获取进程列表失败!");
		goto Exit;
	}
	do
		Number++;
	while(Process32NextW(Handle,&pe));
	/* 获取系统全部进程 */
	ppe=(LPPROCESSENTRY32W)malloc(Number * sizeof(PROCESSENTRY32W));
	if(!ppe)
	{
		puts("申请内存失败!");
		goto Exit;
	}
	for(i = 0;i < Number;i++)
		ppe[i].dwSize = sizeof(PROCESSENTRY32W);
	if(!Process32FirstW(Handle,&ppe[0]))
	{
		puts("获取进程列表失败!");
		goto Exit;
	}
	WideCharToMultiByte(CP_ACP,
		WC_NO_BEST_FIT_CHARS,
		ppe[0].szExeFile,
		sizeof(ppe[0].szExeFile),
		szExeFile,
		sizeof(szExeFile),
		NULL,
		FALSE);
	printf("1.进程名:%s\n",szExeFile);
	for(i = 1;i < Number;i++)
	{
		if(!Process32NextW(Handle,&ppe[i]))
			break;
		WideCharToMultiByte(CP_ACP,
			WC_NO_BEST_FIT_CHARS,
			ppe[i].szExeFile,
			sizeof(ppe[i].szExeFile),
			szExeFile,
			sizeof(szExeFile),
			NULL,
			FALSE);
		printf("%d.进程名:%s\n",i + 1,szExeFile);
	}
	printf("一共有 %d 个进程\n要Dump的Exe文件进程序号:",Number);
	scanf("%d",&num);
	ProcessHandle = CreateToolhelp32Snapshot(TH32CS_SNAPALL,ppe[num - 1].th32ProcessID);
	if(ProcessHandle == INVALID_HANDLE_VALUE)
	{
		puts("创建快照失败!");
		CloseHandle(Handle);
		free(ppe);
		goto Exit;
	}
	ModuleEntry32W.dwSize = sizeof(MODULEENTRY32W);
	if(!Module32FirstW(ProcessHandle,&ModuleEntry32W))
	{
		WideCharToMultiByte(CP_ACP,
			WC_NO_BEST_FIT_CHARS,
			ppe[num - 1].szExeFile,
			sizeof(ppe[num - 1].szExeFile),
			szExeFile,
			sizeof(szExeFile),
			NULL,
			FALSE);
		printf("%d:%s\n",num,szExeFile);
		printf("检索进程信息失败!错误号:%d\n",GetLastError());
		goto Clean;
	}
	WideCharToMultiByte(CP_ACP,
		WC_NO_BEST_FIT_CHARS,
		ppe[num - 1].szExeFile,
		sizeof(ppe[num - 1].szExeFile),
		szExeFile,
		sizeof(szExeFile),
		NULL,
		FALSE);
	WideCharToMultiByte(CP_ACP,
		WC_NO_BEST_FIT_CHARS,
		ModuleEntry32W.szExePath,
		sizeof(ModuleEntry32W.szExePath),
		szExePath,
		sizeof(szExePath),
		NULL,
		FALSE);
	printf("%d:%s\n\t- %s\nBase address:%xh\nBase size:%xh\n",
		num,
		szExeFile,
		szExePath,
		ModuleEntry32W.modBaseAddr,
		ModuleEntry32W.modBaseSize);
	Process = OpenProcess(PROCESS_VM_OPERATION|
		PROCESS_VM_READ|
		PROCESS_VM_WRITE|
		PROCESS_TERMINATE,
		FALSE,
		ModuleEntry32W.th32ProcessID);
	if(!Process)
	{
		printf("打开进程失败!错误号:%d\n",GetLastError());
		goto Clean;
	}
	printf("Exe文件入口点(RVA):");
	scanf("%x",&Oep);
	printf("代码基址(RVA):");
	scanf("%x",&CodeBaseAddr_);
	printf("数据基址(RVA):");
	scanf("%x",&DataBaseAddr_);
	printf("Virtual protect:%d\nLast error:%d\n",
		VirtualProtectEx(Process,
			ModuleEntry32W.modBaseAddr,
			sizeof(Buffer),
			PAGE_EXECUTE_READWRITE,
			&old),
			GetLastError());
	ReadProcessMemory(Process,
		ModuleEntry32W.modBaseAddr,
		Buffer,
		sizeof(Buffer),
		0),
		GetLastError();
	strcpy(szDumpedFileName,szExePath);
	strcat(szDumpedFileName,".Dumped.exe");
	pDosHeader = (PIMAGE_DOS_HEADER)Buffer;
	if(pDosHeader->e_magic != IMAGE_DOS_SIGNATURE)
	{
		puts("不是有效的PE文件!");
		goto Clean;
	}
	pNtHeaders32 = (PIMAGE_NT_HEADERS32)&Buffer[pDosHeader->e_lfanew];
	if(pNtHeaders32->Signature != IMAGE_NT_SIGNATURE)
	{
		puts("不是PE文件,这像一个DOS文件!");
		goto Clean;
	}
	printf("申请内存大小:%xh\n",
		(pNtHeaders32->OptionalHeader.SizeOfImage + 
			pNtHeaders32->OptionalHeader.SizeOfHeaders +
			GetPageSize()) * sizeof(unsigned char));
	pBuf = (DWORD)VirtualAlloc(NULL,
		(pNtHeaders32->OptionalHeader.SizeOfImage + 
		pNtHeaders32->OptionalHeader.SizeOfHeaders + GetPageSize()),
		MEM_RESERVE|MEM_COMMIT,
		PAGE_READWRITE);
	if(!pBuf)
	{
		puts("申请内存失败!");
		CloseHandle(Process);
		goto Clean;
	}
	printf("头大小:%xh\n",pNtHeaders32->OptionalHeader.SizeOfHeaders);
	puts("Dump文件头......");
	/* Dump头 */
	memcpy((char*)pBuf,Buffer,pNtHeaders32->OptionalHeader.SizeOfHeaders);
	puts("Dump文件头完毕\nDump区块......");
	pSecHeader = IMAGE_FIRST_SECTION(pNtHeaders32);
	for(i = 0;i < pNtHeaders32->FileHeader.NumberOfSections;i++)
	{
		printf("区块名 %s\t区块大小:%xh\t区块虚拟地址:%xh\t区块映像地址:%xh\n",
			pSecHeader->Name,
			pSecHeader->SizeOfRawData,
			pSecHeader->VirtualAddress,
			pSecHeader->PointerToRawData);
		pSectionBuffer = (unsigned char*)malloc(pSecHeader->Misc.VirtualSize * sizeof(unsigned char));
		if(!pSectionBuffer)
		{
			puts("Dump区块失败!无法分配内存!");
			VirtualFree((char*)pBuf,0,MEM_RESERVE);
			goto Clean;
		}
		printf("VirtualProtect:%d Last error:%d\n",
			VirtualProtectEx(Process,
				ModuleEntry32W.modBaseAddr + pSecHeader->VirtualAddress,
				pSecHeader->Misc.VirtualSize,
				PAGE_EXECUTE_READWRITE,
				&old),
			GetLastError());
		printf("Dumped:%d\n",
			ReadProcessMemory(Process,
				ModuleEntry32W.modBaseAddr + pSecHeader->VirtualAddress,
				pSectionBuffer,
				pSecHeader->Misc.VirtualSize,
				NULL));
		memcpy((char*)pBuf + pSecHeader->PointerToRawData,pSectionBuffer,pSecHeader->Misc.VirtualSize);
		free(pSectionBuffer);
		pSecHeader++;
	}
	puts("Dump区块完毕!\n开始保存文件......");
	File = fopen(szDumpedFileName,"wb+");
	if(!File)
	{
		puts("保存文件失败!无法创建文件");
		VirtualFree((char*)pBuf,0,MEM_RESERVE);
		goto Clean;
	}
	fwrite((char*)pBuf,
		pNtHeaders32->OptionalHeader.SizeOfImage + 
		pNtHeaders32->OptionalHeader.SizeOfHeaders + GetPageSize(),
		1,
		File);
	fseek(File,78,SEEK_SET);/* 移动78个字节,到 'This program cannot be run in dos mode' */
	fwrite(Msg,strlen(Msg),1,File);/* 写入信息 */
	fclose(File);
	puts("文件保存完毕!\n开始修复入口点,代码基址,数据基址");
	VirtualFree((char*)pBuf,0,MEM_RESERVE);
	/* 修复入口点,代码基址,数据基址 */
	hFile = CreateFileA(szDumpedFileName,
		GENERIC_WRITE|GENERIC_READ,
		FILE_SHARE_READ,
		NULL,
		OPEN_EXISTING,
		FILE_ATTRIBUTE_NORMAL,
		NULL);
	if(hFile == INVALID_HANDLE_VALUE)
	{
		printf("修复文件失败!打开Dump文件失败.文件名:%s Last error:%d\n",szDumpedFileName,GetLastError());
		goto Clean;
	}
	size = GetFileSize(hFile,0);
	hMap = CreateFileMapping(hFile,NULL,PAGE_READWRITE,0,size,NULL);
	if(hMap == INVALID_HANDLE_VALUE)
	{
		goto UnView;
UnView:
		printf("映射Dump文件到磁盘失败!文件名:%s Last error:%d\n",szExePath,GetLastError());
		CloseHandle(hFile);
		goto Clean;
	}
	pBuffer = (unsigned char*)MapViewOfFile(hMap,FILE_MAP_WRITE|FILE_MAP_READ,0,0,size);
	if(!pBuffer)
	{
		CloseHandle(hMap);
		goto UnView;
	}
	pDosHeader = (PIMAGE_DOS_HEADER)pBuffer;
	pNtHeaders32 = (PIMAGE_NT_HEADERS32)&pBuffer[pDosHeader->e_lfanew];
	pNtHeaders32->OptionalHeader.AddressOfEntryPoint = Oep;
	pNtHeaders32->OptionalHeader.BaseOfCode = CodeBaseAddr_;
	pNtHeaders32->OptionalHeader.BaseOfData = DataBaseAddr_;
	printf("修正脱壳镜像中物理地址和物理大小(Y or N):");
	scanf("%s",IsXz);
	if(!stricmp(IsXz,"Y"))
	{
		puts("修正物理地址和物理大小......");
		/* 修正物理地址和物理大小 */
		pSec = IMAGE_FIRST_SECTION(pNtHeaders32);
		for(i = 0;i < pNtHeaders32->FileHeader.NumberOfSections;i++)
			pSecHeader--;
		for(i = 0;i < pNtHeaders32->FileHeader.NumberOfSections;i++)
		{
			pSec->SizeOfRawData = pSecHeader->Misc.VirtualSize;
			pSec->PointerToRawData = pSecHeader->VirtualAddress;
			pSec++;
			pSecHeader++;
		}
		puts("修正物理地址和物理大小完毕");
	}
	MyDosHeader = (pDos)pBuffer;
	strcpy(MyDosHeader->Data," QQ群:Alg & Sec lab of China 群号:254394017 ");/* 写入信息 */
	UnmapViewOfFile(pBuffer);
	CloseHandle(hFile);
	CloseHandle(hMap);
	puts("Dump完成");
	goto Clean;
Clean:
	CloseHandle(ProcessHandle);
	CloseHandle(Handle);
	free(ppe);
	goto Exit;
Exit:
	system("pause");
	return 0;
}

stdafx.h 

// stdafx.h : 标准系统包含文件的包含文件，
// 或是经常使用但不常更改的
// 特定于项目的包含文件
//

#pragma once

#include "targetver.h"

#include <stdio.h>
#include <tchar.h>



// TODO: 在此处引用程序需要的其他头文件
#include <stdlib.h>
#include <windows.h>
#include <TlHelp32.h>
程序截图：

DUMP一个文件后，用记事本打开这个文件，会看到这样的东西：


嘿嘿。。。。


参考资料：http://blog.csdn.net/iiprogram/article/details/2298838（我是从这里才知道的 DUMP文件只需要DUMP出DOS头 + PE头 + 区块）就行。

_KaQqi
关注
专栏目录
使用Windbg分析dump文件的一般步骤及要点详解
dvlinker的技术专栏
05-25 4万+
通过一个问题实例详细讲解使用Windbg静态分析dump文件的完整过程。
dump文件，windbg
热门推荐
chinabinlang的专栏
10-29 2万+
dump文件，在VC中的调试还是非常非常非常有用的，因为我们也不会经每一行代码都加上日志，当然如果你愿意，也可以每一行都加上日志； 在Windows上，添加dump文件有两种方法： 方法一：一个是在程序中添加代码； 方法二：修改注册表（参考后面的bat文件写法，在win7上用管理员程序运行）；建议用这个方法，方便实用；（http://blog.csdn.net/hgy413/article/...
DUMP数据分析助手.exe
07-08
可用于分析dump文件十六进制数的按位取反，十进制换算，二进制换此算和逆位的十六进制数换算，二进制换算。还可以进行和和异或计算，可以添加运算数进行更多计算。文件对比：自动对比。有能力的可以获得vip功能。/另外软件内部所有消费都与本人无关。
WinDbg DUMP数据分析 分析工具
最新发布
xcntime的专栏
08-16 522
生产环境偶尔会出现一些异常问题，WinDbg 或 GDB 就是解决此类问题的利器。调试工具 WinDbg 如同医生的听诊器，是系统生病时做问题诊断的逆向分析工具，Dump 文件类似于飞机的黑匣子，记录着生产环境程序运行的状态。本文主要介绍了调试工具 WinDbg 和抓包工具 ProcDump 的使用，并分享一个真实的案例。N 年前不知谁写的代码，导致每一两个月偶尔出现 CPU 飙高的现象。
DUMP的样例程序
beibeix2015的博客
12-25 477
1、简介 对于程序崩溃，最快的解决方式是生成Dump文件，通过生成Dump文件使用调试工具进行调试，还原程序崩溃时的状态，能够起到快速定位排查问题的作用。Dump文件是进程的内存镜像，可以把程序的执行状态通过调试器保存到Dump文件中。 2、Dump文件的含义和作用 2.1、Dump文件的类型 Windows下Dump文件分为两大类，内核模式Dump和用户模式Dump。用户模式Dump进一步可以分为完整Dump（Full Dump）和迷你Dump（Mini Dump）。 Dump文件是进程的内存镜
mysqldump.exe
01-05
利用此工具可以轻松地将mysql数据库的.sql文件转换为xml文件格式，使用方便，功能强大。
DUMPIT.exe
05-28
内存镜像读取，内存镜像读取，内存镜像读取，内存镜像读取
用Winhex dump exe
Van's House
11-09 4491
为了顺利地dump，你需要准备一个内存编辑工具，比如Winhex（www.winhex.com/winhex ）。下面是dump的具体步骤：首先运行exe，然后执行Winhex菜单中的“Tools”-“Open RAM...”找到你要dump的exe对应的进程，打开相应的exe。比如我们要dump Explorer.exe：点击OK，这样你就可以在Winhex的编辑窗口中看到该EXE在内存中的镜像
qBreakpad dump文件 分析工具
04-22
【标题】"qBreakpad dump文件分析工具"指的是一个专门用于Linux系统中分析Breakpad dump文件的工具。Breakpad是一个开源的崩溃报告系统，广泛应用于跨平台软件中，尤其是服务器和桌面应用程序，它能捕获程序崩溃时的...
Windows下用于生成Dump文件的工具
04-04
该工具名为Procdump，由Sysinternals开发，它是一个命令行实用程序，专门设计用来捕获进程的内存转储（Dump文件）。Dump文件包含了进程在特定时间点的内存快照，包括代码、数据和系统状态，这对于调试和诊断软件故障...
【C++软件调试技术】dump文件类型与dump文件生成方法详解
dvlinker的技术专栏
11-22 2万+
dump文件类型与dump文件生成方法详解。
进程dump工具
05-22
这个工具可以dump进程，然后再用visual studio调试
hl-dump_hasp_
10-02
HL DUMP DONGLE HASP dongle
hl-dump读取工具
03-17
用于读取软件加密狗的dat及reg数据，可复制软件加密狗。后续可利用*dat数据计算seed值
5.6.12mysqldump.exe工具
07-19
在低版本备份高版本的时候会报错。可以尝试直接用高版本的mysqldump备份。但是的一个exe文件。
mysqldump.exe 5.7工具
01-11
mysqldump.exe 5.7工具，可以用来导出、导入mysql数据
dumptxt转换工具
12-30
标题中的“dumptxt转换工具”指的是一个程序或软件，其主要功能是将特定格式的“dump”文件转换成常见的文本文件（txt）。在IT领域，dump文件通常是指系统崩溃时产生的内存转储，或者数据库的备份文件，它们包含了...
转载：Windows程序Dump收集
lizfs_csdn的博客
05-07 474
前面一篇写过《Windbg调试----Windbg入门》，可能不少新手会问，我在本地用Visual Studio去做调试就行了，为什么还需要那么抽象的Windbg去进行调试呢？ 那是因为: 客户环境复杂多样, 发布的软件，经常会出现在本地测试无法重现的问题。我们不可能在客户的环境装一个几十G的Visual Studio，那么一般会先通过Debug Log进行初步的分析，但是碰到程序崩溃，程序死锁，内存泄漏等，只利用Debug log去做分析是非常困难的。这个时候需要借助程序dump来做进一步的分析，进程的
自动NcMDump：一款高效、易用的网络流量抓包工具
gitblog_00016的博客
03-28 1324
自动NcMDump：一款高效、易用的网络流量抓包工具 项目地址:https://gitcode.com/iKunpw/auto-ncmdump 项目简介 自动NcMDump 是一个基于Python编写的命令行工具，它自动化了NcMDump（Netcat的命令行模式）的功能，用于捕获和分析网络流量。这个项目旨在为开发者、安全研究人员和网络管理员提供一种更简便的方式来监控和理解网络通信的行为。 技术分...
使用WinDbg获取第一个dump文件：软件崩溃调试指南
软件崩溃调试是一个系统性的过程，需要熟悉WinDbg和相关工具的使用，通过dump文件获取程序崩溃时的关键信息。通过对这些信息的深入分析，开发者能够有效地识别和修复可能导致软件崩溃的错误和异常，提高软件的稳定性...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值