一段仿真PE加载器行为的程序

转载 2007年10月14日 13:56:00
【  标题  】 一段仿真PE加载器行为的程序
【  声明  】 水平有限,不对之处敬请各位大侠赐教!

以下程序假定PE文件是合法的,所以很多地方都没有提供容错处理

bool PELoader(char *lpStaticPEBuff, long lStaticPELen)
{
  long lPESignOffset = *(long *)(lpStaticPEBuff + 0x3c);
  IMAGE_NT_HEADERS *pINH = (IMAGE_NT_HEADERS *)(lpStaticPEBuff + lPESignOffset);

  //取加载到内存中大小
  long lImageSize = pINH->OptionalHeader.SizeOfImage;
  char *lpDynPEBuff = new char[lImageSize];
  if(lpDynPEBuff == NULL)
  {
    return false;
  }
  memset(lpDynPEBuff, 0, lImageSize);

  //取PE文件的节数量
  long lSectionNum = pINH->FileHeader.NumberOfSections;

  //计算PE头信息及节表信息占用内存大小
  long lPEHeadSize = lPESignOffset + sizeof(IMAGE_NT_HEADERS) + lSectionNum * sizeof(IMAGE_SECTION_HEADER);
  
  //加载PE头部信息及其各个节表
  memcpy(lpDynPEBuff, lpStaticPEBuff, lPEHeadSize);

  //加载各个节
  long lFileAlignMask = pINH->OptionalHeader.FileAlignment - 1;        //各节在磁盘中的对齐掩码
  long lSectionAlignMask = pINH->OptionalHeader.SectionAlignment - 1;  //各节在load后内存中的对齐掩码
  IMAGE_SECTION_HEADER *pISH = (IMAGE_SECTION_HEADER *)((char *)pINH + sizeof(IMAGE_NT_HEADERS));
  for(int nIndex = 0; nIndex < lSectionNum; nIndex++, pISH++)
  {
    //判定各节的对齐属性,合法不
    if((pISH->VirtualAddress & lSectionAlignMask) || (pISH->SizeOfRawData & lFileAlignMask))
    {
      //出现非法节
      delete lpDynPEBuff;
      return false;
    }

    //加载改节
    memcpy(lpDynPEBuff + pISH->VirtualAddress, lpStaticPEBuff + pISH->PointerToRawData, pISH->SizeOfRawData);
  }

  //修改导入表,导入程序执行过程中要用到的API函数地址
  if(pINH->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].Size > 0) //大于0说明有导入表
  {
    IMAGE_IMPORT_DESCRIPTOR *pIID = (IMAGE_IMPORT_DESCRIPTOR *)(lpDynPEBuff + /
      pINH->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);

    //循环扫描每个将有函数导入的dll
    for(; pIID->Name != NULL; pIID++)
    {
      /*曾看过OllyDump源代码,那里在重建导入表的时候,并没有初始化OriginalFirstThunk这个字段,
      所以这里也不对OriginalFirstThunk这个字段进行处理了*/
      IMAGE_THUNK_DATA *pITD = (IMAGE_THUNK_DATA *)(lpDynPEBuff + pIID->FirstThunk);

      HINSTANCE hInstance = LoadLibrary(lpDynPEBuff + pIID->Name);
      if(hInstance == NULL)
      {
        //导入这个dll失败
        delete lpDynPEBuff;
        return false;
      }

      //循环扫描dll内每个被导入函数
      for(; pITD->u1.Ordinal != 0; pITD++)
      {
        FARPROC fpFun;
        if(pITD->u1.Ordinal & IMAGE_ORDINAL_FLAG32)
        {
          //函数是以序号的方式导入的
          fpFun = GetProcAddress(hInstance, (LPCSTR)(pITD->u1.Ordinal & 0x0000ffff));
        }
        else
        {
          //函数是以名称方式导入的
          IMAGE_IMPORT_BY_NAME * pIIBN = (IMAGE_IMPORT_BY_NAME *)(lpDynPEBuff + pITD->u1.Ordinal);
          fpFun = GetProcAddress(hInstance, (LPCSTR)pIIBN->Name);
        }

        if(fpFun == NULL)
        {
          //导出这个函数失败
          delete lpDynPEBuff;
          return false;
        }

        pITD->u1.Ordinal = (long)fpFun;
      }

      FreeLibrary(hInstance);
    }
  }


  //重定位处理
  if(pINH->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].Size > 0)
  {
    //取第一个重定位块
    IMAGE_BASE_RELOCATION *pIBR = (IMAGE_BASE_RELOCATION *)(lpDynPEBuff + /
      pINH->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress);

    long lDifference = (long)lpDynPEBuff - pINH->OptionalHeader.ImageBase;

    //循环每个重定位块
    for(; pIBR->VirtualAddress != 0; )
    {
      char *lpMemPage = lpDynPEBuff + pIBR->VirtualAddress;
      long lCount = (pIBR->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) >> 1;

      //对这个页面中的每个需重定位的项进行处理
      short int *pRelocationItem = (short int *)((char *)pIBR + sizeof(IMAGE_BASE_RELOCATION));
      for(int nIndex = 0; nIndex < lCount; nIndex++)
      {
        int nOffset = pRelocationItem[nIndex] &0x0fff;
        int nType = pRelocationItem[nIndex] >> 12;

        //虽然windows定义了很多重定位类型,但是在PE文件中只能见到0和3两种
        if(nType == 3)
        {
          *(long *)(lpDynPEBuff + nOffset) += lDifference;
        }
        else if(nType == 0)
        {
          //什么也不做
        }
      }

      //pIBR指向下一个重定位块
      pIBR = (IMAGE_BASE_RELOCATION *)(pRelocationItem + lCount);
    }

  }

  delete lpDynPEBuff;

  return true;
}
 
 

Hibernate入门到精通2017视频教程

-
  • 1970年01月01日 08:00

一段仿真PE加载器行为的程序

bool PELoader(char *lpStaticPEBuff, long lStaticPELen){  long lPESignOffset = *(long *)(lpStaticPEBu...
  • iiprogram
  • iiprogram
  • 2008-04-16 22:52:00
  • 1118

一段仿真PE加载器行为的程序

 一段仿真PE加载器行为的程序bool PELoader(char *lpStaticPEBuff, long lStaticPELen){  long lPESignOffset = *(long ...
  • skyremember
  • skyremember
  • 2006-07-27 20:33:00
  • 1278

PE加载器的实现

来源:http://blog.vckbase.com/windowssky  对于加壳软件的开发者,掌握PE Loader的实现是最基本的技术;因为壳运行结束后,你要仿照PE加载器去Load映象体,我...
  • Blue_Dream_
  • Blue_Dream_
  • 2007-08-23 20:26:00
  • 2523

仿真WINDOWS PE加载器的程序

此程序用来仿真PE加载器,可以直接运行内存中的程序。 bool PELoader(char *lpStaticPEBuff, long lStaticPELen){  long lPESignOffs...
  • KernelEx
  • KernelEx
  • 2009-09-08 14:54:00
  • 1663

仿真WINDOWS PE加载器的程序

此程序用来仿真PE加载器,可以直接运行内存中的程序。  bool PELoader(char *lpStaticPEBuff, long lStaticPELen) {   long lPE...
  • cosmoslife
  • cosmoslife
  • 2013-12-19 23:25:32
  • 1461

模拟Windows PE加载器,从内存资源中加载DLL

// 以下代码经过Win2k Sp4/WinXp Sp2 下测试通过 // MemLoadDll.h: interface for the CMemLoadDll class. // /////...
  • liangbo8299
  • liangbo8299
  • 2014-03-26 00:21:41
  • 877

一种保护应用程序的方法 模拟Windows PE加载器,从内存资源中加载DLL

标 题: 【原创】一种保护应用程序的方法 模拟Windows PE加载器,从内存资源中加载DLL 作 者: shangzh 时 间: 2012-04-12,23:14:51 链 接: http:...
  • xrain_zh
  • xrain_zh
  • 2015-03-29 16:54:55
  • 2092

windows下的pe loader源代码

  • 2010年02月09日 09:58
  • 386KB
  • 下载

读PE文件的3大结构体_PE文件加载器

#include"stdio.h" #include"stdlib.h" #include"windows.h" int main() { IMAGE_DOS_HEADER imafe_dos_he...
  • qq1841370452
  • qq1841370452
  • 2017-02-06 11:16:14
  • 108
收藏助手
不良信息举报
您举报文章:一段仿真PE加载器行为的程序
举报原因:
原因补充:

(最多只允许输入30个字)