PE程序壳编写学习过程(一)PE文件的读取

参考书籍《加密与解密》第三版

CODEBLOCK下编写

一，头文件的包含。

由于使用WinGw编译，需要包含windef.h。然后为了windows文件的读取，包含winbase.h。又由于提示缺少va_list的声明，包含stdarg.h解决。

二，程序代码。

读取的原理是先定位到IMAGE_NT_HEADERS，然后再逐个读取IMAGE_SECTION_HEADER。

还有一种简单的读取方式是申请整个文件大小的内存空间，然后将文件直接读入内存，但这种读取方式对以后的操作会造成不便，故不采用。

UINT   m_nImageSize = 0;//映像大小
PIMAGE_NT_HEADERS m_pntHeaders = 0;//PE结构指针
PIMAGE_SECTION_HEADER m_psecHeader = 0;//第一个SECTION结构指针
PCHAR m_pImageBase = 0 ; //映像基址

先声明几个全局变量，方便以后使用。

    HANDLE hFile = CreateFile("notepad.exe",GENERIC_READ|GENERIC_WRITE,FILE_SHARE_READ|FILE_SHARE_READ,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);

    if( hFile == INVALID_HANDLE_VALUE){
        cout<<"Fail to open the file!"<<endl;
        return 0;
    }
    //读DOS头
    DWORD fsize=GetFileSize(hFile,NULL);
	DWORD buffersize=fsize;//+0x2000;
	BYTE *buffer = new BYTE[buffersize];
    DWORD read;
	ReadFile(hFile,buffer,fsize,&read,NULL);
    PIMAGE_DOS_HEADER dosHeader = (PIMAGE_DOS_HEADER) buffer;//获取到dos头
    cout << "DOS signature: " << dosHeader->e_magic << endl;
    if (dosHeader->e_magic!=IMAGE_DOS_SIGNATURE)
		cout << "DOS signature mismatch!" << endl;

    PIMAGE_NT_HEADERS ntHeaders = (PIMAGE_NT_HEADERS)&buffer[dosHeader->e_lfanew];//获取到NT头
	cout << "NT signature: " << ntHeaders->Signature << endl;
	if (ntHeaders->Signature!=IMAGE_NT_SIGNATURE)
		cout << "NT signature mismatch!" << endl;

需要注意的是获取NT头时，要在dosHeader的之后加上dosHeader的长度，然后再将其整体转换成PIMAGE_NT_HEADER的形式。

    m_pImageBase = new char[m_nImageSize];
    memset(m_pImageBase,0,m_nImageSize);//清空申请内存
    SetFilePointer(hFile,0,NULL,FILE_BEGIN);
    ReadFile(hFile,m_pImageBase,nHeaderSize,&read,NULL);//这个语句会导致内存错误，原因暂时不明
    m_pntHeaders = (PIMAGE_NT_HEADERS)((DWORD)m_pImageBase + dosHeader->e_lfanew);
    //计算IMAGE_NT_HEADERS大小
    DWORD nNtHeaderSize = sizeof(ntHeaders->FileHeader)+sizeof(ntHeaders->Signature)+ntHeaders->FileHeader.SizeOfOptionalHeader;
    //cout<<nNtHeaderSize<<endl;
    m_psecHeader = (PIMAGE_SECTION_HEADER)((DWORD)m_pntHeaders + nNtHeaderSize);
    //循环依次读出SECTION数据到映像中的虚拟地址处
    PIMAGE_SECTION_HEADER psecHeader = m_psecHeader;
    for(WORD nIndex = 0;nIndex<nSectionNum;++nIndex,++psecHeader)
    {
        DWORD nRawDataSize = psecHeader->SizeOfRawData;
        DWORD nRawDataOffset = psecHeader->PointerToRawData;
        DWORD nVirtualAddress = psecHeader->VirtualAddress;
        DWORD nvirtualSize = psecHeader->Misc.VirtualSize;
        SetFilePointer(hFile,nRawDataOffset,NULL,FILE_BEGIN);//定位到下一SECTION
        ReadFile(hFile,&m_pImageBase[nVirtualAddress],nRawDataSize,NULL,NULL);//读数据到映像中
        cout<<nIndex<<endl;
    }

其中有一个ReadFile()的函数会造成内存错误，并没有成功解决，虽然不影响程序运行结果，但如果谁有解决方法请务必告诉我。