vc编写自己的壳之一:对pe文件OEP的修改

转载 2007年10月14日 13:57:00

调试了下修改pe文件的oep,然后在新的入口点什么都没做,只是jmp回到原始入口点,程序继续执行.测试通过. 准备明天在自己入口点的地方添加一个MessageBox代码.

很多是网上朋友的代码,借用下不好意思,如有版权等问题请联系偶,偶会尽快处理,谢谢.

void CPeSecDlg::Go()
{
 HANDLE hFile, hMapping;
 void * basepointer = NULL;
 if(INVALID_HANDLE_VALUE == (hFile = CreateFile("C://CenterServer.exe",
  GENERIC_READ | GENERIC_WRITE,
  FILE_SHARE_READ | FILE_SHARE_WRITE,
  0,
  OPEN_EXISTING,
  FILE_FLAG_SEQUENTIAL_SCAN,
  0)))
 {
  AfxMessageBox("打开失败!!");
  return;
 }

 if(!(hMapping = CreateFileMapping(hFile, 0, PAGE_READONLY | SEC_COMMIT, 0, 0, 0)))
 {
  AfxMessageBox("CreateFileMapping打开失败!!");
  CloseHandle(hFile);
  return;
 }

 if(!(basepointer = MapViewOfFile(hMapping, FILE_MAP_READ, 0, 0, 0)))
 {
  AfxMessageBox("MapViewOfFile");
  CloseHandle(hMapping);
  CloseHandle(hFile);
  return;
 }

 IMAGE_DOS_HEADER * dos_head = (IMAGE_DOS_HEADER*)basepointer;
 IMAGE_NT_HEADERS * header = (IMAGE_NT_HEADERS*)((char*)dos_head + dos_head->e_lfanew);
 DWORD oldOEP = header->OptionalHeader.AddressOfEntryPoint;
 IMAGE_SECTION_HEADER * sectionHeader = (IMAGE_SECTION_HEADER*)(((char*)header + sizeof(IMAGE_NT_HEADERS)));

 //此段真实长度
 DWORD dwVirtSize = sectionHeader->Misc.VirtualSize;
 //此段物理偏移
 DWORD dwPhysAddress = sectionHeader->PointerToRawData;
 //此段物理长度
 DWORD dwPhysSize = sectionHeader->SizeOfRawData;
 //取得此段的可用空间
 DWORD dwSpace = dwPhysSize - dwVirtSize;
 //取得程序的装载地址
 DWORD dwProgRAV = header->OptionalHeader.ImageBase;

 //代码偏移一般为0
 DWORD dwCodeOffset = header->OptionalHeader.BaseOfCode - dwPhysAddress;

 //代码写入的物理偏移
 DWORD dwEntryWrite = dwPhysAddress + dwVirtSize;
 if(0 != (dwEntryWrite%16))
 {
  dwEntryWrite += (16 - (dwEntryWrite%16));
 }

 //计算新的程序入口地址
 DWORD dwNewEntryAddress = dwEntryWrite + dwCodeOffset;

 //将jmp oldOEP的代码写入新的入口地址
 SetFilePointer(hFile, dwNewEntryAddress, NULL, FILE_BEGIN);
 //jmp oldOEP的16进值码为0xE90002D820
 DWORD iWrited = 0;
 char cmd[4] = {0};
 ChangeDwordToString(/*0x0002D820*/0xFFFE069B, cmd);
/* cmd[0] = (char)0x00;
 cmd[1] = (char)0x02;
 cmd[2] = (char)0xD8;
 cmd[3] = (char)0x20;
 WriteFile(hFile, cmd, 4, &iWrited, NULL);
*/ char d[1] = {0};
 d[0] = (char)0xE9;
 WriteFile(hFile, d, 1, &iWrited, NULL);
 WriteFile(hFile, cmd, 4, &iWrited, NULL);

 //设置新的入口地址
 int nEntryPos = dos_head->e_lfanew + 40;
 SetFilePointer(hFile, nEntryPos, NULL, FILE_BEGIN);
 char pBuffer[4] = {0};
 ChangeDwordToString(/*0x0002D820*/dwNewEntryAddress, pBuffer);
 WriteFile(hFile, pBuffer, 4, &iWrited, NULL);

 //OK
}

//转换DWORD为字符串,并转换成低低高高顺序
void CPeSecDlg::ChangeDwordToString(DWORD d, char *cBuffer)
{
 unsigned char waddress[4] = {0};

 cBuffer[3] = (char)(d>>24)&0xFF;
 cBuffer[2] = (char)(d>>16)&0xFF;
 cBuffer[1] = (char)(d>>8)&0xFF;
 cBuffer[0] = (char)(d)&0xFF;

VC读取PE文件的OEP(程序入口)

OEP是PE文件被加载时的起始地址,该值位于PE文件头的IMAGE_OPTIONAL_HEADER32结构体中。照着网上的教程写了一遍,收 获不小,现在对PE文件的前两部分已经有一定的了解了。 下...
  • c395565746c
  • c395565746c
  • 2010-06-15 01:44:00
  • 1310

如何写自己的壳

Writing Your Own Packer - by BigBoote --------------------------------------------------------------...
  • daiyu22
  • daiyu22
  • 2008-07-11 23:07:00
  • 1100

壳的编写(5)-- 进行加壳操作

由于我们在编写壳的部分比较简单,那么我们在编写加壳的过程中难免要复杂些。我们要完成加壳的操作必然会要读取被加壳程序的各种信息,并保存到一个结构中,为了便于后面的操作。还有在操作上只能读取源文件,将加壳...
  • oBuYiSeng
  • oBuYiSeng
  • 2016-01-16 16:58:32
  • 2588

PE程序壳编写学习过程(一)PE文件的读取

参考书籍《加密与解密》第三版 一,头文件的包含。 由于使用WinGw编译,需要包含windef.h。然后为了windows文件的读取,包含winbase.h。又由于提示缺少va_list的声明,包...
  • l470279614
  • l470279614
  • 2016-08-26 09:14:23
  • 279

两种方法获取文件OEP

读取的字段都是一样的,只是一个直接从PE文件中读取,一个映射到内存后再读取 1.文件直接访问法 BOOL ReadOEPByFile(LPCTSTR szFileName) { HANDL...
  • evi10r
  • evi10r
  • 2011-08-23 15:42:18
  • 1262

查找OEP PE入口点

oep是什么oep是程序入口点oep=original entry pointep=entry point O是指原来的意思E是指入口P是指点所以全称是原入口点的意思如何找oep(入口点)PE后两行半...
  • cmdhack
  • cmdhack
  • 2010-01-19 23:23:00
  • 766

VC读取PE文件的OEP

OEP是PE文件被加载时的起始地址,该值位于PE文件头的IMAGE_OPTIONAL_HEADER32结构体中。照着网上的教程写了一遍,收获不小,现在对PE文件的前两部分已经有一定的了解了。下面的代码...
  • tg2003
  • tg2003
  • 2009-12-04 04:29:00
  • 1302

通过文件读取oep值

OEP是PE文件被加载时的起始地址,该值位于PE文件头的IMAGE_OPTIONAL_HEADER32结构体中。 下面的代码很简单,首先用CreateFile读取PE文件,PE文件的起始位置是DOS...
  • liyuanjinglyj
  • liyuanjinglyj
  • 2012-08-21 17:53:52
  • 1048

Windows可执行文件(PE文件)壳的设计过程

PE文件壳的设计过程 标题:pe文件壳的设计过程 作者:baccon(PEDIY论坛),或chenxiang(软件发布者) 时间:2013年10月26日星期六...
  • adebies
  • adebies
  • 2014-10-04 00:38:06
  • 1468

VC写加密壳

这次我使用VC来写一个加密壳的框架。
  • PandaOS
  • PandaOS
  • 2015-08-19 00:18:46
  • 1759
收藏助手
不良信息举报
您举报文章:vc编写自己的壳之一:对pe文件OEP的修改
举报原因:
原因补充:

(最多只允许输入30个字)