VC写加密壳

最新推荐文章于 2019-12-26 14:24:23 发布

PandaOS

最新推荐文章于 2019-12-26 14:24:23 发布

阅读量2.9k

点赞数

分类专栏：加密技术 Win32编程文章标签：加密加壳

本文链接：https://blog.csdn.net/PandaOS/article/details/47765271

版权

本文介绍了使用VC编写加密壳的过程，包括EasyProtect的加壳流程和Shell的执行流程。在加壳过程中，通过区块重定位和DOS头保存关键信息，如OEP。Shell在加壳程序中先执行，动态获取API，解密代码段后再跳回原程序入口点。对于获取Kernel32.dll基址的问题，提出了解决方案。

摘要由CSDN通过智能技术生成

准备工作

工程文件已经打包。解决方案内有2个项目：EasyProtect 和 Shell。
EasyProtect 是用来加壳的。
Shell就是壳的核心，编译后是Shell.dll。

EasyProtect 流程

：
打开被加壳文件 -> 打开Shell.dll -> 提取shell.dll代码段(.MyCode) 数据 ->在被加壳文件中创建新的区段->重定位Shell.dll的代码数据->把重定位好的代码数据写到被加壳程序的新区段中->加密被加壳程序代码段->修正OEP

但是还有一些细节没有提及。
packPE 加壳函数。

bool packPE(char * szFileName)
{
        CPeFile MyPe;
        CPeFile MyShell;  // 壳也是一个编译的pe文件
        PIMAGE_SECTION_HEADER pNewSec,pShellSec;
        PMyDosHeader pDosHead;
        char *shellcode;
        if(!MyPe.LoadPe(szFileName))
                return false;
        if(!MyShell.LoadPe(SHELL_FILE))
                return false;

        pDosHead = (PMyDosHeader)MyPe.GetBuffer();
        if (pDosHead->info.flag==0x1447) // 已经加密过了
                return false;
        /* 获取壳的代码段 */
        pShellSec = MyShell.FindSectionByName(".MyCode");
        pNewSec = MyPe.AddSection(".fishc",pShellSec->SizeOfRawData);
        if(!pNewSec) return false;
        // 重定位数据 0.0 
        FixRelocBase2(MyShell,MyPe.GetImageBase(),pNewSec->VirtualAddress);
        // 复制代码数据
        shellcode = new char[pShellSec->SizeOfRawData];
        bool bRet =
        MyShell.ReadDataByRaw(pShellSec->PointerToRawData,shellcode,pShellSec->SizeOfRawData);
        if(!bRet)return false;
        bRet = 
        MyPe.WriteDataByRaw(pNewSec->PointerToRawData,shellcode,pShellSec->SizeOfRawData);
        if(!bRet) return false;
        delete shellcode;
        // 加密代码段
        char *buf;
        char *key = "mooncakeisverylovelygirl";
        PIMAGE_SECTION_HEADER cs;
        pDosHead->info.CodeSec=MyPe.GetCodeSection();
        cs = MyPe.GetSectionById(pDosHead->info.CodeSec);
        buf = (char *)MyPe.GetBuffer();
        xorPlus(&buf[cs->PointerToRawData],cs->SizeOfRawData,key,strlen(key));
        // 修正OE