初识PE结构：编程在任意节空白区添加代码（一）

最新推荐文章于 2023-06-09 23:00:19 发布
最新推荐文章于 2023-06-09 23:00:19 发布
阅读量1.8k 收藏
点赞数
分类专栏： 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/laobingzai/article/details/53990688
版权
本文介绍了在PE文件中添加隐藏代码的步骤，涉及FileBuffer到ImageBuffer的转换，以及ImageBuffer到NewBuffer的过程，揭示了PE文件读写的关键操作。
摘要由CSDN通过智能技术生成

我们如果想在任意节空白区添加隐藏代码：首先我们先实验对PE文件进行正确的读写，是要将.exe文件从硬盘中完整地拷贝到内存中，这时我们称这个在内存数据块为FileBuffer，然后我们要将FileBuffer按照操作系统能运行的要求进行拉伸对齐生成内存映像文件ImageBuffer，我们才能得到正确的偏移，之后将ImageBuffer按照文件对齐的形式转成新的文件NewBuffer，最后将NewBuffer存储到硬盘中。


在这里详细说说从fileBuffer（文件缓冲区）转成ImageBuffer（镜像缓冲区）和ImageBuffer（镜像缓冲区）转成NewBuffer（新文件缓冲区）两个步骤，这是PE文件读写的关键步骤：


从filebuffer转成imagebuffer
1、申请空间，大小为p Op
最低0.47元/天 解锁文章
我是马赛克
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
PE编程汇总
kisbuddy
08-14 2449
判断是否为有效PE文件： （c 版读写文件） //通过判断DOS头标志和PE头标志以及PE头属性值来确定文件是否可执行文件 BOOL IsExeFile(HANDLE hFile) { DWORD nCount; BOOL bResult = FALSE; IMAG
PE结构详解
whl0071的专栏
02-20 2530
文章目录 转载自[PE结构详解(64位和32位)](https://blog.csdn.net/cs2626242/article/details/79391599) 1 基本概念 2 概览 3 文件头 3.1 DOS头（PE文件签名的偏移地址就是大小） 3.2 NT头（244或260个字节） 3.2.1 机器类型 3.2.2 特征 3.3 节头 3.3.1 节标志 4 一些注意信息 5 特殊的节 5.1 .edata节 5.1.1 导
深入理解PE，手工制作64位PE程序
yhy1315的博客
06-09 1114
由于像 ASLR 这样的内存保护以及许多其他原因，该字段指定的地址几乎从未被使用过，在这种情况下，PE 加载程序选择一个未使用的内存范围来加载图像，在将图像加载到该地址后加载器进入一个称为重定位的过程，它修复图像中的常量地址以使用新的图像库，有一个特殊的部分保存有关需要重定位时需要修复的地方的信息，该部分称为重定位部分(对于 DLL，入口点是可选的，在没有入口点的情况下，该。十进制为70，这个大小是由我们在节区的数据量来确定，我们这个操作码+字符常量的总占地大小为70，所以这里填写70。
PE文件详解(C制作PE格式解析器)
CharlesGodX的博客
03-27 5554
0x00：前言 PE文件可以说是在逆向的各个领域都有涉及，特别是病毒领域，如果你是一名病毒制造者，那你肯定是对PE文件有详细的了解，那么这里我就详细介绍一下PE文件，最后我们用C来写一个PE格式解析器。 0x01：PE格式 要了解PE文件，首先要知道PE格式，那么什么是PE格式呢，既然是一个格式，那肯定是我们都需要遵循的定理，下面这张图就是PE文件格式的图片(来自看雪)，非常大一张图片，其实PE格...
PE工具的编写（三）
qq_45873163的博客
10-24 391
PEComp的实现 PEComp是PE文件比较器。功能是按照PE文件格式的数据结构按字段对两个指定的PE文件进行比对，以获取两个PE文件结构中不相同的信息。在实际应用中，我们可以通过对比病毒感染前后PE文件在相关字段上发生的变化来判断病毒的感染方式，从而确定清理病毒的方法。 编程思路 步骤1 打开要比较的两个文件，分别进行文件的内存映射，获取内存的起始地址。 步骤2 线性搜索根据文件头部内容确定该文件是否为PE文件，不是则退出。 步骤三 将esi指向要操作的第一个文件的相关字段处，将edi指向第二个要操作的
scratch编程项目源代码文件案例素材-初识scratch.zip
05-16
在压缩包内的"初识scratch.sb2"文件中，可能包含了一个简单的游戏或互动故事的源代码。通过打开这个文件，初学者可以学习到如何创建角色、设置背景、编写控制角色行为的脚本，以及如何通过事件、条件和循环来实现...
再读苹果《ThreadingProgrammingGuide》笔记（一）：初识线程
02-26
我们设想在应用程序中，每行代码的执行都有一个执行路径并对应一个执行容器。线程，可以让应用程序中的代码通过多个执行路径执行，从而达到多个代码块同时在不同的执行路径下执行运算，即多任务同时执行。在系统中，...
Linux命令行与shell脚本编程 - 初识sed和gawk案例代码
最新发布
06-04
在Linux操作系统中，命令行和Shell脚本编程是日常运维和开发工作中不可或缺的技能。本文将深入探讨两个强大的文本处理工具：sed和gawk，它们在处理大量文本数据时尤其有用。通过学习这两个工具，你可以编写出高效且...
python编程：第1课-初识Python.pptx
06-13
在初识Python的第1课中，我们首先回顾了Python的一些基本特性： 1. **跨平台**：Python可以在多种操作系统上运行，如Windows、Linux、macOS等，这使得Python代码具有高度的可移植性。 2. **开源**：Python是开放源...
PE知识
12-11
PE知识
C/C++编程解析PE文件结构
考拉研究僧的博客
12-12 6949
PE的意思就是Portable Executable(可移植、可执行）PE文件结构图： PS：现在大多数PE文件都是加壳或者经过处理的，此程序只适用于最原始的PE文件关于PE文件的解析问题，可以参考我的另一篇博文《用Winhex软件解析PE文件》#include <stdio.h> #include <stdlib.h> #include <Windows.h> //函数计算导出／导入表的VA D
PE学习之-最简单的程序
小发猫
05-24 2894
// _pefirst.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include "afxwin.h"#include using std::cout;using std::endl;LPCTSTR lpszFileToOpen = _T("C://windows//notepad
PE Dump汇编程序
crkres9527
03-30 685
PE Dump 的实现是PE文件字码查看器，利用它可以查看和总计指定的PE文件的十六进制字节码，帮助我们更好地分析PE结构列一：是地址。地址的值是第(n*16+1）个字节在文件中的位置列二：是由空格分隔符分隔的16个字节的十六进制显示列三：这16个字节对应的ASCII码值。打开PE文件---》获取文件大小totalSize----》求循环显示16字节数据-----》显示剩余totalSize%16...
滴水三期：day31.1-代码节空白区添加代码
Edimade的博客
05-02 1144
一、代码节空白区添加代码（1.MessageBox函数说明>2.call与jmp指令的硬编码>3.添加代码效果说明>4.添加思路）>二、作业（1.在代码空白区添加代码(手动)）
WindowsPE（二）空白区添加代码&新增，扩大，合并节
sky123博客
11-20 912
在 PE 中插入一段调用 MessageBox 的代码。利 OD 定位出 MessageBoxA 函数的地址为 0x77D507EA 。 构造 shellcode ： 其中 shellcode 中的地址需要根据 shellcode 在 PE 中插入的位置来确定。节表中的 SizeOfRawData 为 该节在 PE 文件中关于文件对齐后的大小，Misc.VirtualSize 为该节加载到内存后的真实大小。因此可以添加内容的空白区域大小为 SizeOfRawData - Misc.VirtualSize
PE结构-空白区手动添加任意代码（附实例代码）
Alone的博客
07-12 1585
PE之添加任意代码到空白区预备知识1.查找本机MessageBoxA地址1.打开OD调试工具拖入要添加的exe程序。2.在命令中输入 : （输入后按下回车键）3.点击断点页面即可看到MessageBoxA 的地址开始添加代码1.查看要添加的文件空白区大小是否足够2.打开16进制编辑器，载入要修改的EXE。找到文件中的大小（对齐后的长度的位置+ 文件中偏移的位置） （1C000 + 1000 = 1d000）3.在1d000位置上面找任意一段空白区添加上代码 （最好是添加到 空白区开始的位置，便于以后再添加更
PE实战教程之空白节添加代码
weixin_43742894的博客
04-01 709
想要添加的代码：弹出一个messagebox。 如果想要调用messagebox，可以看到下面的代码，就是push 参数，call函数地址。 1.寻找OEP所对应的文件偏移位置. 首先随便找一个文件,查看扩展头中OEP RVA 以及 ImageBase, 并且换算出属于哪个节.并且转换为文件偏移. OEP的RVA为00012180，imagebase为00400000。 那么内存中OEP开始位置就是 RVA +Imagebase == 00012180+ 00400000== 0x00412180。 　查
pe文件结构在空白区添加代码
goat_2003的博客
06-10 448
想要再空白区添加代码，首先我们需要清晰一下我们需要做的步骤。 1.查找本机MessageBoxA地址 2.打开OD调试工具拖入要添加的exe程序。 3.在命令中输入 : （输入后按下回车键） 4.找任意一段空白区添加上代码 （最好是添加到 空白区开始预留一行的位置，便于以后再添加更多代码节约空间） 5.计算E8跳转的地址 6.修改OEP （程序入口的点） 预备知识 汇编指令 硬编码 call E8 00 00 00 00 jmp E9 00 00 00 00 push 6A .

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值