一、为什么要移动导出表
移动导出表是指将导出表以及其内部的三张子表移动到新增节,这个操作是软件加密的第一步。因为软件加密会把节进行加密,而数据目录是在节里的,加密后操作系统不认识了,因此我们要把数据目录里面的东西移动到一个新的节里。
二、怎么移动
上图是导出表的结构,移动导出表的步骤,我个人的做法分为以下几步:
- 计算新增节的大小,必须能放下导出表,3张子表,所有按名字导出的函数名;
- 新增一个节,并设置其属性为可读,含已初始化数据;
- 原封不动地拷贝3张子表到新增节;
- 遍历 AddressOfNames,计算函数名的字节数,然后依次添加到新增节,添加同时更新 AddressOfNames 表里的RVA;
- 拷贝导出表到新增节,修改3张子表的RVA;
- 修改目录项中新导出表的RVA。
三、代码实现
// 移动导出表到新增节
DWORD MoveExportTableToNewSection(LPVOID pFileBuffer, LPVOID *pNewFileBuffer, DWORD dwFileBufferSize)
{
PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;
PIMAGE_FILE_HEADER pPEHeader = (PIMAGE_FILE_HEADER)(pDosHeader->e_lfanew + (DWORD)pDosHeader + 4);
PIMAGE_OPTIONAL_HEADER32 pOptionHeader = (PIMAGE_OPTIONAL_HEADER32)((DWORD)pPEHeader + sizeof(IMAGE_FILE_HEADER));
PIMAGE_SECTION_HEADER pSectionHeader = \
(PIMAGE_SECTION_HEADER)((DWORD)pOptionHeader + pPEHeader->SizeOfOptionalHeader);
PIMAGE_EXPORT_DIRECTORY pExportTable = (PIMAGE_EXPORT_DIRECTORY)((DWORD)pFileBuffer + \
RvaToFoa(pFileBuffer, pOptionHeader->DataDirectory[0].VirtualAddress));
PDWORD pAddressOfFunctions = (PDWORD)((DWORD)pFileBuffer + RvaToFoa(pFileBuffer, pExportTable->AddressOfFunctions));
PWORD pAddressOfNameOrdinals = (PWORD)((DWORD)pFileBuffer + RvaToFoa(pFileBuffer, pExportTable->AddressOfNameOrdinals));
PDWORD pAddressOfNames = (PDWORD)