PE文件感染学习之一__通过现成代码加入一节信息来研究EXE文件的变化

     最近在学习CODEPROJECT网站上的一个程序示例,名字叫做插入自己的节信息在任何的EXE文件中.尤其这个程序的危害比较的所以作者是提供了自己的一个弹出对话框的节信息.我尝试过加入一些EXE文件中,有成功运行的,有显示错误提示的(也许原因是有奇偶检验位的问题吧),后期文章我会介绍校验位的算法,希望大家能多关注我,多支持我的文章,希望得到大家的宝贵意见.对了.我的QQ号码是365556303,希望和更多的志同道合的朋友们一起进步提高.

      下面我们来研究一下加入节信息后,EXE文件有那些变化.我以作者提供的CALC.EXE 计算机程序为示例讲解. 我们通过WINHEX来对比原CALC.EXE和加入一个节信息的CALC.EXE程序,加入节信息的内容我们暂定为两条简单的汇编语句:mov eax,01012475   jmp eax 这个很简单我来大概解释一下.01012475这个地址就是计算机程序在XP SP2 中的OEP. 我们的节信息的数据就包括这些简单的内容.

      下面我们来看一下它们的区别:

       原程序                          加入节信息的程序

 1 在节数量(NumberOfSections)中,原程序的节数量+1=加入1个新节的程序的节数量;

 2  在AddressOfEntryPoint 这个区域的区别(载入内存中的相对于映像基址的偏移值)

(未完待续)