修改PE文件头删除ASLR

最新推荐文章于 2023-04-11 20:55:21 发布
最新推荐文章于 2023-04-11 20:55:21 发布
阅读量632 收藏
点赞数 1
分类专栏： 逆向工程
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_33976344/article/details/115016181
版权

Windows内核6.0版本之后增设了ALSR(Address Space Layout Randomization)机制, 使得每次PE文件记载到虚拟内存的起始地址不一样, 而且栈和堆起始地址也不一样.
熟知PE文件头格式的逆向玩家, 可以通过修改一个标志位来达到删除编译好的可执行文件的ASLR功能.

PE文件头中IMAGE_OPTIONAL_HEADER\DLL Characteristics设
有IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE标志, 8140改到8100即可删除ASLR.

Hex Editor打开根据PE文件格式找到偏移(0x136)处修改.
或者使用PE文件专用工具CFF Explorer修改
在这里插入图片描述

注意每个PE文件不一定相同, 需要PE-view查看, 或者CFF直接看改即可.

fa1c4
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
修改PE可选头关闭ASLR
hambaga的博客
08-29 729
打开PE编辑工具CFF Explorer 编辑可选PE头的DllCharacteristics，点击Click here 将第一个复选框dll can move 去除勾选即可。
【逆向知识】PE ASLR
weixin_30788619的博客
07-02 216
1、知识点 微软从windows vista/windows server 2008（kernel version 6.0）开始采用ASLR技术，主要目的是为了防止缓冲区溢出 ASLR技术会使PE文件每次加载到内存的起始地址随机变化，并且进程的栈和堆的起始地址也会随机改变。 这样的PE不好调试，如果不想启用ASLR。可以通过以下两种方法解决。 VS编译器：若不想使用ASLR功能，可以在...
LordPE关闭重定位 alsr
lhk124的博客
07-23 515
前言：alsr多多少少影响逆向时对程序的分析。关闭它。 两种情况： 1.操作系统开启了alsr。关闭方法文章如下： win10参考文章：https://www.52pojie.cn/thread-1099755-1-1.html win7参考文章：https://bbs.pediy.com/thread-258653.htm2 2.程序保护关闭方法 爱盘下载LordPE 重新用OD载入程序后，可以看见不会再变化了。 ...
【反分析】清除PE文件上的Rich Headers
r250414958的博客
03-26 759
Rich Headers前言The Rich Header解密Rich Header格式解析@comp.id值其他参考项目参考文章 前言 Rich Header是PE文件DOS Header和NT Header之间的一个结构(在PE Header和DOS stub之间)。它包含链接库版本信息以及链接器版本。可以有效的帮助恶意软件分析人员溯源和关连攻击方 The Rich Header Rich Header是由微软编译器创建，通常看起来像如下： WSNPOEM Decryption Code analy
二进制文件/PE文件对比工具非常好用
07-28
1. **文件头对比**：每个PE文件都有一个头部，包含了文件的基本信息，如魔数、图像大小、入口点等。工具会检查这些关键字段是否一致。 2. **节区对比**：PE文件由多个节区组成，每个节区包含代码、数据或资源。工具...
PE结构图文.rar
05-06
真正描述PE结构的是NT头，它包含两个主要部分：文件头（COFF文件头）和可选头（Optional Header）。 **1. COFF文件头** 这是PE文件的起点，遵循通用对象文件格式（Common Object File Format）。它包含了文件的基本...
经典pe文件格式解读
06-12
此外，PE文件格式还支持诸如延迟加载、安全特征（如NX位、ASLR等）等功能，这些功能对提高应用程序的安全性和性能至关重要。 #### 总结 PE文件格式是Windows操作系统上最重要的文件格式之一，它不仅规定了应用程序...
PE文件格式详细结构图
06-15
6. 弹性缓冲区溢出保护：为了增强安全性，PE文件格式支持Data Execution Prevention (DEP)和Address Space Layout Randomization (ASLR)技术，防止恶意代码利用缓冲区溢出漏洞。 7. 数字签名：PE文件还可以包含数字...
PE文件格式资料中文版
08-15
- **PE头**: 随后是PE签名（'PE\0\0'），标志着PE文件格式的开始。接着是COFF（Common Object File Format）文件头，包含文件的基本信息，如目标机器类型、文件大小等。 2. **节（Section）表** - PE文件由多个节...
ASLR_disabler:在预编译的EXE上禁用IMAGE_OPTIONAL_HEADER中的ASLR标志IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE。 适用于32位和64位Windows EXEPE映像
05-28
ASLR_disabler 在预编译的EXE上禁用IMAGE_OPTIONAL_HEADER中的ASLR标志IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE。 适用于32位和64位Windows EXE / PE映像 该软件通过强制固定映像库来对EXE进行黑客攻击，以使ASLR受到重大安全破坏，从而禁用ASLR，因此，软件工程师可以使用该软件来开发例如功能劫持。 这是PE的一部分：IMAGE_OPTIONAL_HEADER中的WORD DllCharacteristics，标志：IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE（0x0040）记下有关ImageBase（第52和60行）的信息，如果设置为与启动器/同一应用程序中的任何其他应用程序冲突，调试器将修改ImageBase。集会
Mark一下：PE文件中的DEP和ASLR标志
a1875566250的专栏
12-27 2055
转载自：http://hi.baidu.com/lisl03/item/66b21ca7dd7f193f020a4d36 EXE文件中可选头的DllCharacteristics标志可以决定这个EXE文件是否使用DEP\ASLR技术，定义为： IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE 0x40 -> ASLR IMAGE_DLLCHARACTERISTICS
写一个PE的壳_Part 4：修复对ASLR支持+lief构建新PE
可乐松子的博客
05-27 486
文章目录1.解决思路step 1：当前现状step 2：解决思路step 3：内存布局2.修改unpack部分Image BasePE Header and Section3.修改python的打包程序step 1：构建unpack部分step 2：ASLR特殊处理4.构建结果处理 Part 3中遗留了一个隐患，MinGW无法生成重定位表，因此无法产生可移动的二进制文件；Part 4中要处理MinGW生成的可执行文件（不能移动的，即不支持ASLR的二进制文件）的打包问题 1.解决思路 step 1：当前
ASLR
weixin_30460489的博客
02-17 156
@author:dlive ASLR address space layout randomization 微软从windows vista/windows server 2008（kernel version 6.0）开始采用ASLR技术，主要目的是为了防止缓冲区溢出 ASLR技术会使PE文件每次加载到内存的起始地址随机变化，并且进程的栈和堆的起始地址也会随机改变。 该技术需要操作系统和编译工具...
去掉PE文件随机基址的方法
weixin_30448603的博客
07-10 1718
用010Editer打开点击下面箭头所指的NtHeader然后在上方变蓝的数据块内找到4081，然后修改为0081即可（懂得PE文件的朋友可以也可以一层一层自己找到这个字段，就是WORD IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE这个字段 ，把值1改为0即可。 未修改之前： OD加载的地址如图所示： IDA加载如图所示： 修改之后： OD加载的...
PE文件关闭随机基址
最新发布
qq_29176323的博客
04-11 424
1.使用010Editor打开exe或者dll文件 dll不建议关闭随机基址，否则多个dll可能会冲突 2. 找到下图的WORD字段 将IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE改成0即可
『转载』从内存资源中加载C++程序集：CMemLoadDll
denghui6223的博客
10-18 386
MemLoadDll.h #if !defined(Q_OS_LINUX) #pragma once typedef BOOL (__stdcall *ProcDllMain)(HINSTANCE, DWORD, LPVOID ); class CMemLoadDll { public: CMemLoadDll();...
PE可选头
BiCai2的博客
09-16 1293
typedef struct _IMAGE_OPTIONAL_HEADER { WORD Magic; 10B 32位PE 20B 64位PE 107 ROM映像 BYTE MajorLinkerVersion; 链接器版本号 BYTE MinorLinkerVersion; 链接器副版本号 DWORD
简单加密壳项目笔记
BRUCE的博客
12-14 1915
项目分为两部分组成，一个是加壳程序，主要用于加密目标文件后生成一个新的可执行程序；另一个是壳本身DLL程序，主要用于在程序运行之前先解密被加密的部分。 一、第一部分——加壳程序 第一步，打开加壳的目标程序，读取数据。初步解析一下是不是PE文件。 CPE obj; //打开并获取文件PE数据 obj.GetFileBuf(PATH); bool CPE::GetFileBuf(char *
Win32可执行文件格式PE详解
"这篇文档详细介绍了PE文件结构，包括PE头、各数据段和各节结构，以及如何防止病毒攻击。作者通过与16位的NE文件格式对比，帮助读者理解Win32平台上的PE文件格式。" 在Windows操作系统中，PE（Portable Executable...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值