《Windows PE》4.1.4 手工重构导入表

于 2024-10-05 09:37:33 发布
阅读量1.2k 收藏 8
点赞数 6
分类专栏： Windows PE 文章标签： windows PE 汇编 c语言
本文链接：https://blog.csdn.net/bcdaren/article/details/142711360
版权

接下来我们做一个稍微复杂一些的实验，实验需要四个程序：

       HelloWorld.exe：弹出MessageBox窗口（实验1已实现）。

       Regedit.exe：添加注册表启动项。

       LockTray.exe：锁定任务栏窗口。

UnLockTray.exe：解锁任务栏窗口。

       【注】为了减少不必要的麻烦，上述四个程序都使用32位汇编代码实现。

实验二十八：手工重构导入表

       ■实验要求

       ●分别编译实现上述四个实验程序。

       ●Regedit.exe程序的功能是将LockTray.exe添加到注册表启动项中。

       ●手工实现，将Regedit.exe程序的代码、数据、IAT表和导入表添加到HelloWorld.exe程序中，并可以正确运行。

●HelloWorld.exe源码：（略）

●LockTray.exe源码：

       ;------------------------

;Filename:LockTray.asm

;实验28：锁定任务栏

;by:bcdaren

;编写日期：2021.04.26

;========================================================

    .386

    .model flat,stdcall

    option casemap:none

include    windows.inc

include    user32.inc

includelib user32.lib

include    kernel32.inc

includelib kernel32.lib

;数据段

.data

szClassName      db  'Shell_TrayWnd',0

hTray                  dd  ?

;代码段

.code

start:

    invoke FindWindow,addr szClassName,0

    mov hTray,eax

    invoke ShowWindow,hTray,SW_HIDE;SW_SHOW解锁

    invoke EnableWindow,hTray,FALSE

    invoke ExitProcess,NULL

end start

       ●UnLockTray.exe源码：（略）

●Regedit.exe源码：

;------------------------

;Filename:regedit.asm

;实验28：添加注册表启动项

;by:bcdaren

;编写日期：2021.04.26

;========================================================

    .386

    .model flat,stdcall

    option casemap:none

include    windows.inc

include    user32.inc

includelib user32.lib

include    kernel32.inc

includelib kernel32.lib  

include    advapi32.inc

includelib advapi32.lib

;数据段

.data

szSubKey db  'SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run',0

szValueName        db  'NewValue',0

szData                  db  'D:\code\winpe\ch04\LockTray\LockTray.exe',0       ;41个字节

hKey       dd  ?

;代码段

.code

start:

    invoke RegCreateKey,HKEY_LOCAL_MACHINE,addr szSubKey,addr hKey

    invoke RegSetValueExA,hKey,addr szValueName,NULL,REG_SZ,addr szData,41

    invoke RegCloseKey,hKey

    invoke ExitProcess,NULL

end start

●手工重构导入表

第一步：新建一个HelloWorld.exe程序的副本。在WinHex中新建一个空白文件，并将HelloWorld.exe复制到空白文件中。

第二步：定位副本文件中的.data节区，将Regedit.exe程序的.data节区数据写入到副本文件.data节区的结尾处。

00000800   68 65 6C 6C 6F 00 48 65  6C 6C 6F 2C 77 65 6C 63   hello.Hello,welc

00000810   6F 6D 65 20 74 6F 20 50  45 21 00 53 4F 46 54 57   ome to PE!.SOFTW

00000820   41 52 45 5C 57 4F 57 36  34 33 32 4E 6F 64 65 5C   ARE\WOW6432Node\

00000830   4D 69 63 72 6F 73 6F 66  74 5C 57 69 6E 64 6F 77   Microsoft\Window

00000840   73 5C 43 75 72 72 65 6E  74 56 65 72 73 69 6F 6E   s\CurrentVersion

00000850   5C 52 75 6E 00 4E 65 77  56 61 6C 75 65 00 44 3A   \Run.NewValue.D:

00000860   5C 63 6F 64 65 5C 77 69  6E 70 65 5C 63 68 30 34   \code\winpe\ch04

00000870   5C 4C 6F 63 6B 54 72 61  79 5C 4C 6F 63 6B 54 72   \LockTray\LockTr

00000880   61 79 2E 65 78 65 00 00  00 00 00 00 00 00 00 00   ay.exe..........

【注意】下面的步骤中只需要插入advapi32.dll模块中3个注册表函数的IAT、INT、函数名和模块名数据，剔除重复的ExitProcess导入函数数据。

第三步：将Regedit.exe程序的IAT表数据插入到副本文件IAT表的结尾处。

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000600   76 20 00 00 00 00 00 00  5C 20 00 00 00 00 00 00   v ......\ ......

00000610   A6 20 00 00 88 20 00 00  96 20 00 00 00 00 00 00   ?..?..?......

第四步：将Regedit.exe程序的导入表描述符数据插入到副本文件导入表描述符结尾处。

00000620   54 20 00 00 00 00 00 00  00 00 00 00 6A 20 00 00   T ..........j ..

00000630   08 20 00 00 4C 20 00 00  00 00 00 00 00 00 00 00   . ..L ..........

00000640   84 20 00 00 00 20 00 00  54 20 00 00 00 00 00 00   ?... ..T ......

00000650   00 00 00 00 B8 20 00 00  00 20 00 00 00 00 00 00   ....?... ......

第五步：将Regedit.exe程序的INT表数据插入到副本文件INT表的结尾处。

00000670   76 20 00 00 00 00 00 00  5C 20 00 00 00 00 00 00   v ......\ ......

00000680   A6 20 00 00 88 20 00 00  96 20 00 00 00 00 00 00   ?..?..?......

第六步：将Regedit.exe程序的函数名和DLL名数据写入到副本文件函数名和DLL名数据的结尾处。

00000690   B1 01 4D 65 73 73 61 67  65 42 6F 78 41 00 75 73   ?MessageBoxA.us

000006A0   65 72 33 32 2E 64 6C 6C  00 00 9B 00 45 78 69 74   er32.dll..?Exit

000006B0   50 72 6F 63 65 73 73 00  6B 65 72 6E 65 6C 33 32   Process.kernel32

000006C0   2E 64 6C 6C 00 00 B7 01  52 65 67 43 6C 6F 73 65   .dll..?RegClose

000006D0   4B 65 79 00 BA 01 52 65  67 43 72 65 61 74 65 4B   Key.?RegCreateK

000006E0   65 79 41 00 E7 01 52 65  67 53 65 74 56 61 6C 75   eyA.?RegSetValu

000006F0   65 45 78 41 00 00 61 64  76 61 70 69 33 32 2E 64   eExA..advapi32.d

00000700   6C 6C 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ll..............

第七步：删除.rdata节区多余空字节，使.data节区保持00000800H地址不变。修正IAT表、导入表描述符和INT表。

00000600   AA 20 00 00 00 00 00 00  90 20 00 00 00 00 00 00   ?....... ......

00000610   C6 20 00 00 D4 20 00 00  E4 20 00 00 00 00 00 00   ?..?..?......

00000620   70 20 00 00 00 00 00 00  00 00 00 00 B8 20 00 00   p ..........?..

00000630   00 20 00 00 78 20 00 00  00 00 00 00 00 00 00 00   . ..x ..........

00000640   9E 20 00 00 08 20 00 00  80 20 00 00 00 00 00 00   ?... ..€ ......

00000650   00 00 00 00 F6 20 00 00  10 20 00 00 00 00 00 00   ....?... ......

00000660   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

00000670   AA 20 00 00 00 00 00 00  90 20 00 00 00 00 00 00   ?....... ......

00000680   C6 20 00 00 D4 20 00 00  E4 20 00 00 00 00 00 00   ?..?..?......

第八步：将Regedit.exe程序的.text节区数据复制到.text节区，并修正参数地址以及FF25跳转地址。

00000400   68 87 30 40 00 68 1B 30  40 00 68 02 00 00 80 E8   h?@.h.0@.h...€?

00000410   52 00 00 00 6A 29 68 5D  30 40 00 6A 01 6A 00 68   R...j)h]0@.j.j.h

00000420   55 30 40 00 FF 35 87 30  40 00 E8 3D 00 00 00 FF   U0@.5?@.?...

00000430   35 87 30 40 00 E8 2B 00  00 00 6A 00 68 00 30 40   5?@.?...j.h.0@

00000440   00 68 06 30 40 00 6A 00  E8 07 00 00 00 6A 00 E8   .h.0@.j.?...j.?

00000450   06 00 00 00 FF 25 08 20  40 00 FF 25 00 20 40 00   ....%. @.%. @.

00000460   FF 25 10 20 40 00 FF 25  14 20 40 00 FF 25 18 20   %. @.%. @.%.

00000470   40 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   @.%. @.........

【注】需要修改灰色背景的字节。

第九步：删除.text节区多余空字节，使.rdata节区起始位置00000600H地址不变。修正数据目录项导入表项的RVA地址为00002020H。

【可选项】可以选择修改的字段包括导入表的大小、IAT表的大小、.text节区的实际大小、.rdata节区的实际大小和.data节区的实际大小。如果不修改上述字段，不影响程序的运行。说明加载PE时不会检查上述字段。

  总结

       实验二十八等于手动将两个程序合并为一个新的程序。也可以理解为在原程序的基础上，手动添加了一个新的功能。

       需要特别注意的是：

       1．.rdata节区内的字符串都是ASCII字符串，且偶数字节对齐。

       2．.text节区内FF 25跳转到函数地址表的顺序必须与IAT表内的顺序相对应。

       3．IAT表内RVA地址的顺序可以任意排列，但是必须与.text节区内FF 25跳转到函数地址表的顺序一致。

       4．在未绑定的情况下，IAT表和INT表完全一致。

       5．可以增加节区内的数据，但是尽量不要改变节区文件偏移地址的起始位置，并保持512个字节对齐。

       6．手工重构导入表，需要将两个程序的各个节区进行合并。其中较为复杂的就是IAT表和导入表的重构。

bcdaren
关注
专栏目录
博客
《Windows PE》18.3 壳破解
10-31 821
看完了上一节，读者应该会有些感慨，破解是如此的简单。如果你是收费商业软件的一方，肯定会觉得应该需要做点什么。在本章的第一节，我们介绍了很多种不同的验证方式，可以根据具体情况，选择一种合适的验证方法。但是，不论采用什么样的验证方式，验证本身也是需要防护的。我们可以使用加密壳对验证代码进行加密保护。因此，加密壳又被称之为保护的保护。本节我们将介绍register.exe使用UPX壳加密，然后再破解的方法。脱壳后破解带壳破解。
博客
《Windows PE》17.3 FSG壳
10-30 679
回顾第十六章PE病毒的16.2.2病毒分析案例一中，我们分析的病毒样本Lab01-03.exe使用了FSG壳。本节我们就来详细分析FSG壳。静态分析手工脱壳。
博客
《Windows PE》16.4.2 病毒查杀
10-29 732
当单步执行到从入口地址开始的0x61地址处（第一条PUSH指令的下一条指令地址01013061H）时，从context上下文中取出栈顶stCT.Esp的值（000DFF80H），然后调用ReadProcessMemory函数读取该地址处存储的原程序入口地址。接下来我们还是以Win32.Capric.exe的“X病毒”为例，首先使用手工的方法清理病毒，然后再写一个针对该病毒的专杀工具。由上一小节对病毒源代码的分析我们得知，如果需要彻底修复被感染的目标文件，我们需要将被病毒修改的部分逐一进行修复。
博客
《Windows PE》15.1 资源捆绑
10-28 681
在下载应用程序时，我们会发现一些特殊的EXE应用程序。当我们运行EXE程序时会同时下载或生成若干个其他应用程序，并自动运行。这个过程通常会以一种静默的方式悄悄地进行。我们将这一技术称之为EXE捆绑。之所以这样做，好的方面是简化程序下载安装的过程。坏的方面是一些流氓软件可以借此牟利，侵犯用户的选择权。本章介绍两种常用的EXE捆绑的实现方法。本章学习知识概要：资源捆绑补丁捆绑。
博客
《Windows PE》14.1最后一节插入补丁程序
10-27 787
如果我们希望添加不同功能的补丁，只需要替换补丁DLL就可以了。00010430 03 F3 8B 76 78 03 F3 8B 7E 20 03 FB 8B 4E 14 56 .髬vx.髬~ .麐N.V。00010420 00 00 00 8B 40 0C 8B 70 1C AD 8B 58 08 8B 73 3C ...婡.媝.瓔X.媠
博客
《Windows PE》12.4 万能补丁
10-25 793
本节我们将介绍基于嵌入式补丁的万能补丁技术。万能补丁原理示例程序。
博客
《Windows PE》11.2.1 PE变形技术
10-24 797
恶意软件使用PE变形技术来修改PE文件的结构和代码，以产生不同的变种，从而使每个实例看起来不同，难以被传统的基于特征的病毒检测技术所识别。■●代码混淆：恶意软件使用各种技术，如指令替换、指令重排、无用代码插入等，来修改PE文件的代码，使其难以分析和识别。这样可以改变程序的控制流，增加分析的复杂性。【注】我们将在PE加密壳一章详细讲解代码混淆。●API重命名：恶意软件可能会修改PE文件中调用的系统API函数的名称，使其与正常的API名称不同。
博客
《Windows PE》9.2 动态加载技术-获取kernel32.dll基址
10-23 1003
上一节中我们介绍了如何动态调用DLL的方法。首先调用LoadLibrary函数动态加载DLL，然后调用GetProcAddress通过函数名获取DLL内的函数地址。但是LoadLibrary和GetProcAddress函数的调用仍然依赖于PE文件内的导入表和函数地址表的存在。在操作系统加载PE文件到内存时获取这两个函数的地址。本节我们将介绍一种完全不依赖于导入表和函数地址表的方法，实现对DLL动态链接库中函数的调用。简单来说，需要经过以下三步：步骤1获取kernel32.dll的基地址。
博客
《Windows PE》7.4 资源表应用
10-22 744
本节我们将通过两个示例程序，演示对PE文件内图标资源的置换与提取。更改图标提取图标资源。
博客
《Windows PE》7.3 遍历资源表
10-21 269
文件偏移：00003AB8 (代码页=0804, 长度2字节)文件偏移：00003AC0 (代码页=0804, 长度2字节)2．示例程序对于非资源内容（例如应用程序清单）归类于自定义资源类型。文件偏移：00007DD0 (代码页=0409, 长度381字节)●模块五：RvaToFileOffset.c（略）●模块七：GetResourceInfo.c。●模块六：Getpeinfo.c（略）●模块四：pemain.c（略）●模块1：resource.h。●模块2：peinfo.rc。●模块三：info.h。
博客
《Windows PE》7.2 资源表
10-20 790
在资源表中，IMAGE_RESOURCE_DIRECTORY_ENTRY 的 OffsetToData 字段指向一个 IMAGE_RESOURCE_DATA_ENTRY 结构，该结构描述了资源数据的位置和相关属性。PE 对话框资源的起始位置 01 00 FF FF 00 00 00 00 00 00 00 00 是对话框资源的标识符，用于识别和定位对话框资源在 PE 文件中的位置。资源的每一级目录都会有一个资源目录头，它标识 了该类资源的属性、创建日期和版本等信息，其中也包含了随后的目录项的数量描述信息。
博客
《Windows PE》7.1 资源分类
10-18 722
自定义资源是指在程序中使用的非标准资源，这些资源可以是任何类型的数据或文件，用于存储和使用程序所需的特定信息或内容。在资源脚本文件（.rc 文件）中，可以使用自定义的资源类型来定义和描述这些资源。其在资源 文件中的定义语法如下：资源 ID 类型 ID [DISCARDABLE]BEGIN数据定义……END以下是一个示例：上述代码中，IDR_CUSTOM1 是自定义资源的唯一标识符（ID），CUSTOM 是自定义资源类型指示符，custom.dat 是自定义资源文件的名称。
博客
《Windows PE》6.4.2 远程注入DLL
10-17 396
测试步骤：当PEHeader.exe运行时，运行remoteThread.exe，点击文件菜单”插入到PEHeader.exe”，就可以将DLL远程注入到进程PEHeader.exe中了。对比无DLL注入的方法，使用DLL注入的方法不需要对代码和数据进行重定位（由操作系统自动完成），省去了很多不必要的麻烦，因此也是我们常用的方法。写一个窗口程序，将一个dll通过远程注入的方法，注入到第三章的示例程序PEHeader.exe中，支持32位和64位PE。1．打开本地进程（调用OpenProcess函数）。
博客
《Windows PE》6.4.1 无 DLL远程注入
10-16 794
一旦你的ThreadFunc中有错误，远程线程会立即崩溃。这样，远程进程中的ThreadFunc就会执行不存在的内存数据（至少没有在它自己的内存空间中）。如果我们能够熟练的掌握汇编语言，当然也可以直接使用汇编语言编写一个无DLL注入的程序，毕竟使用汇编语言可以非常方便的直接对代码和数据进行重定位，这是C语言无法做到的。如果这个有争议的CALL是编译器添加的（因为一些不该打开的编译开关比如/GZ打开了），它要么在ThreadFunc的开头要么在ThreadFunc接近结尾的地方。
博客
《Windows PE》6.3 无导入表和重定位表PE文件
10-15 372
本节我们将演示一个无导入表、无重定位表，并且只有一个.text节区的汇编代码程序。汇编代码重定位。
博客
6.2 遍历重定位表
10-14 286
本节我们将编写一个遍历重定位表的示例程序，打印重定位表。遍历重定位表。
博客
《Windows PE》6.1 重定位表
10-12 1002
重定位表（relocation table）是在可执行文件或动态链接库（DLL）中用于指示系统在加载时对代码和数据进行重新定位的数据结构。在可执行文件或 DLL 中，代码和数据通常是使用相对地址进行引用的。当将可执行文件或 DLL 加载到内存中时，如果加载地址与文件中的基地址不匹配，就需要对代码和数据进行重新定位，以确保引用的地址正确。重定位表重定位表的结构与解析重定位表的修改。
博客
《Windows PE》5.3 导出表应用
10-11 978
本节我们将通过三个实验来说明导出表的应用。实验一修改导出表中的函数地址。实验二直接替换导出函数的代码。实验三导出私有函数修改导出函数地址替换导出函数代码导出私有函数。
博客
《Windows PE》5.2 遍历导出表
10-10 1175
这段代码使用了 EnumProcessModules 函数遍历进程中的模块，并使用 GetModuleInformation 函数获取模块的基址。32位和64位PE文件导出表描述符是相同的，遍历导出表的区别只有两点，32位基址和64位基址，以及NT32位NT头和64位NT头的区别。实验34：方法一，使用常规方法实现，将程序读到内存指定位置，进行磁盘与内存的转换。实验35：方法二，使用常规方法实现，将程序读到内存指定位置，进行磁盘与内存的转换。使用常规方法实现，将程序读到内存指定位置，进行磁盘与内存的转换。
博客
《Windows PE》5.1 导出表
10-09 1046
该值也是一个指针，与AddressOfNames是一一对应关系，所不同的是，AddressOfNames指向的是字符串的指针数组，而AddressOfNameOrdinals则指向了该函数在AddressOfFunctions中的索引值。●导出函数序号表（Export Function Ordinal Table）是PE文件中导出表的一部分，用于映射导出函数的序号和地址。DLL中的第一个导出函数并不是从0开始的，某导出函数的编号等于从AddressOfFunctions开始的顺序号加上这个值。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值