PE复写：向PE文件某个节中添加一个自己的代码

一.预备知识

1.CALL JMP Push指令

这两个汇编指令肯定都不陌生,那么他对应的机器码是多少呢？我们去反汇编里去看看！

（1）可以看到call指令后面call的是一个地址，其实反汇编就是根据机器码翻译成汇编，这个没有什么问题。
那么就不难发现call指令对应的就是E8，也经常称之为E8 CALL，当然还有别的call，还有个FF call，这是个间接call，这里就不细说了！
（2）看看汇编和机器码有什么区别，首先先看汇编，call后面跟的是个地址，记住这个地址

然后我们单步步入进去看看

call后面跟的就是真正要执行的指令地址，但是call对应的E8后面跟的却不是call后面跟的，如下

注意是小端存储，所以是FF FF E3 73。其实他们之间是有联系的，我们再来看看单步步过call指令之后是什么？


注意这个指令的地址，就是

首先第一点：00412EB0=00412EB8+5,这个5就是E8 73 E3 FF FF 这个占5个字节硬编码，其实很好理解，在内存中有一个代码区，那里面存的就是编译成的二进制代码，就是这些东西，那么前面的地址就是这些代码的地址

那么下一条指令跟上一条指令差的就是那5个字节的硬编码，ok这一点解决
第二点：观察call后面的地址

我们先称之为这个地址真正要跳转的地址，注意这个地方很重要，先记下来，然后我们让E8后面跟的硬编码设置为X，单步步过call指令之后的下一条指令的地址也就是

我们称这个为下一条指令地址，那么就有如下公式
$$真正要执行的地址=下一条指令地址+X$$
$$或者：真正要执行的地址=本条$$