pe节空白区添加的代码

再此之前需要了解节表（假设我们都理解了)

以一个程序为例：

如上图所示一个正长的程序运行后是这样的，我们想对该程序做点手脚，在弹出该页面之前，先弹出我们给他指定的东西。

最终实现结果：

首先弹出我们指定的页面，然后在弹出正常页面。

首先我们知道pe结构式分块的，在块与块之前是有空隙的，而我们可以在此做手脚。

首先先计算出我们要插入数据的硬编码大小。（这里我们要插入的是一个messagebox函数，他带有4个参参数）对应的硬编码分别是：push 6a call e8 jmp e9

call+ 我们设定的地址

jmp+跳转回oep地址

call,jmp后均加个字节硬编码

计算

E8（call）和E9（jmp)计算公式：
call的硬编码：E8

需要注意的是：E8后面会跟着四个字节的数据，表示转换后的偏移（通过这五个字节数据就可以执行想让程序执行的函数）
jmp的硬编码：E9
与call的硬编码一样，它后面同样会跟着四个字节的数据，表示转换后的偏移（通过这五个字节我们可以实现：程序执行完我们添加进去的代码后回到正常执行的地址）
计算E8和E9的公式：
这里需要计算的是E8和E9后面跟着的四个字节数据，我们用X来表示
我们先来给大家给出一个公式：

函数真正执行的地址 = E8后面一条指令的地址 + X（E8后面跟着的四个字节数据）

那么我们就可以得到：

X=程序真正执行的地址 —E8后面一条指令的地址

而我们知道E8（E9）后面跟着四个字节数据，那么E8（E9）后面一条指令的地址就应该是E8（E9）的地址+5（E8（E9）本身占据一字节）
那么我们就得到了E8（E9）的计算公式：

X = 程序真正执行的地址—(E8（E9）的地址 + 5）

这里给出我自己的理解：这里的X就是相对E8（E9）指令的偏移，我感觉这样的话会更好理解，当然如果大家有更好的理解或者是X的本质可以在文章后面评论，我会非常虚心地接受。
需要特别注意的是：这里的X是指磁盘文件拉伸后的地址，不是FileBuffer地址！

对应的硬编码为：

首先查看一下该程序的区段：我们就在.text阶段进行操作。

进行操作之前首先我们要先判断该节区空间够不够用。

真实数据大小：viruralsize 0x19722
文件中对齐后大小：sizeofrvadata 0x1a000
判断空间是否还够：做差 8de 可以注入

.text在文件种的区域范围：1000-1b000
插入数据的部分

目标地址（ 0x7684b730）=call下一条指令的地址（0x00416cbd）+call后边的硬编码
call后硬编码：7643 0ff3
jmp后：目标地址(oep4183d7)=jmp（41a742)+jmp后硬编码

jmp后编码 :FFFFdc95

修改oep:1a730

然后保存退出即可。