PE复写:添加一个ShellCode到PE文件中
一.预备知识
1.CALL JMP Push指令
这两个汇编指令肯定都不陌生,那么他对应的机器码是多少呢?我们去反汇编里去看看!
(1)可以看到call指令后面call的是一个地址,其实反汇编就是根据机器码翻译成汇编,这个没有什么问题。
那么就不难发现call指令对应的就是E8,也经常称之为E8 CALL,当然还有别的call,还有个FF call,这是个间接call,这里就不细说了!
(2)看看汇编和机器码有什么区别,首先先看汇编,call后面跟的是个地址,记住这个地址
然后我们单步步入进去看看
call后面跟的就是真正要执行的指令地址,但是call对应的E8后面跟的却不是call后面跟的,如下
注意是小端存储,所以是FF FF E3 73。其实他们之间是有联系的,我们再来看看单步步过call指令之后是什么?
注意这个指令的地址,就是
首先第一点:00412EB0=00412EB8+5,这个5就是E8 73 E3 FF FF 这个占5个字节硬编码,其实很好理解,在内存中有一个代码区,那里面存的就是编译成的二进制代码,就是这些东西,那么前面的地址就是这些代码的地址
那么下一条指令跟上一条指令差的就是那5个字节的硬编码,ok这一点解决
第二点:观察call后面的地址
我们先称之为这个地址真正要跳转的地址,注意这个地方很重要,先记下来,然后我们让E8后面跟的硬编码设置为X,单步步过call指令之后的下一条指令的地址也就是
我们称这个为下一条指令地址,那么就有如下公式
真 正 要 执 行 的 地 址 = 下 一 条 指 令 地 址 + X 真正要执行的地址=下一条指令地址+X 真正要执行的地址=下一条指令地址+X
或 者 : 真 正 要 执 行 的 地 址 = 本 条 指 令 地 址 + 5 + X 或者:真正要执行的地址=本条指令地址+5+X 或者:真正要执行的地址=本条