修改OEP到PE非代码段也可以运行？

最新推荐文章于 2021-04-01 09:50:35 发布
最新推荐文章于 2021-04-01 09:50:35 发布
阅读量782 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012187684/article/details/20935277
版权
刚才测试了一下lordpe找了一个非代码区，该区域没有执行属性，然后我把pe里oep的地址改向这个非代码区的某位置，直接执行虽然出问题，但是用od看到是从非代码区运行了。没有执行权限，为什么还能运行呢？
陈刚12
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
[网络安全自学篇] 六十二.PE文件逆向之PE文件解析、PE编辑工具使用和PE结构修改（三）
杨秀璋的专栏
03-25 1万+
本系列虽然叫“网络安全自学篇”，但由于系统安全、软件安全与网络安全息息相关，作者同样会分享一些系统安全案例及基础工具用法，也是记录自己的成长史，希望大家喜欢，一起进步。前文分享了数字签名，采用Signtool工具对EXE文件进行签名，接着利用Asn1View、PEVie、010Editor等工具进行数据提取和分析。本文将详细介绍PE文件格式，熟悉各种PE编辑查看工具，针对目标EXE程序新增对话框等，这也为后续PE病毒和恶意代码的攻防打下扎实基础。希望这篇基础文章对您有所帮助~
pe文件结构在空白区添加代码
goat_2003的博客
06-10 483
想要再空白区添加代码，首先我们需要清晰一下我们需要做的步骤。 1.查找本机MessageBoxA地址 2.打开OD调试工具拖入要添加的exe程序。 3.在命令中输入 : （输入后按下回车键） 4.找任意一段空白区添加上代码 （最好是添加到 空白区开始预留一行的位置，便于以后再添加更多代码节约空间） 5.计算E8跳转的地址 6.修改OEP （程序入口的点） 预备知识 汇编指令 硬编码 call E8 00 00 00 00 jmp E9 00 00 00 00 push 6A .
vc编写自己的壳之一：对pe文件OEP的修改
rageliu的专栏
03-16 3036
最近学习pe格式和写壳，最终目标是写出自己的壳，并有一定的anti能力．调试了下修改pe文件的oep，然后在新的入口点什么都没做，只是jmp回到原始入口点，程序继续执行．测试通过． 准备明天在自己入口点的地方添加一个MessageBox代码.很多是网上朋友的代码，借用下不好意思，如有版权等问题请联系偶，偶会尽快处理，谢谢．void CPeSecDlg::Go(){ HANDLE hFi
手动增加pe节并修改oep
wangbabadan的专栏
03-26 916
一直想学学怎么动动pe文件，学习了几篇文章尤其是寒晨的文章后，自己动手也尝试了一下加节和修改oep，写出来供和我一样菜的一起进步。 一、       增加pe节需要的操作 1.    确定内存中的节的对齐粒度和文件中的节的对齐粒度，分别是pe+0038h 和3ch   也就是说 内存和文件的对齐粒度都是1000h. 2.    在文件末尾增加数据。 因为文件对齐的粒度是1000
PE文件的修改以及增加节区
关注互联网安全的小虾米一枚
08-05 2359
修改入口函数地址。这个是最省事的办法，在原PE文件中新增加一个节，计算新节的RVA，然后修改入口代码，使其指向新增加的节。当然，如果.text节空隙足够大的话，不用添加新节也可以。 BOOL ChangeOEP(CString strFilePath) { FILE* rwFile; // 被感染
PE实战教程之空白节添加代码
weixin_43742894的博客
04-01 924
想要添加的代码：弹出一个messagebox。 如果想要调用messagebox，可以看到下面的代码，就是push 参数，call函数地址。 1.寻找OEP所对应的文件偏移位置. 首先随便找一个文件,查看扩展头中OEP RVA 以及 ImageBase, 并且换算出属于哪个节.并且转换为文件偏移. OEP的RVA为00012180，imagebase为00400000。 那么内存中OEP开始位置就是 RVA +Imagebase == 00012180+ 00400000== 0x00412180。 　查
PE结构-空白区手动添加任意代码（附实例代码）
Alone的博客
07-12 1935
PE之添加任意代码到空白区预备知识1.查找本机MessageBoxA地址1.打开OD调试工具拖入要添加的exe程序。2.在命令中输入 : （输入后按下回车键）3.点击断点页面即可看到MessageBoxA 的地址开始添加代码1.查看要添加的文件空白区大小是否足够2.打开16进制编辑器，载入要修改的EXE。找到文件中的大小（对齐后的长度的位置+ 文件中偏移的位置） （1C000 + 1000 = 1d000）3.在1d000位置上面找任意一段空白区添加上代码 （最好是添加到 空白区开始的位置，便于以后再添加更
UPack的PE文件头分析与OEP查找
Mi1k7ea
06-11 1590
UPack（Ultimate PE压缩器），是一种PE文件的运行时压缩器，特点是使用独特的方法对PE头进行变形。UPack会使许多的PE分析程序无法正常运行，因此很多恶意代码都是通过UPack进行压缩。   UPack PE文件头分析 使用UPack压缩notepad.exe： UPack会直接压缩源文件而不会进行备份。压缩后的notepad文件更名为notepad_upack。 使...
程序OEP入口特征
12-27
识别OEP对于逆向工程师来说至关重要，因为它可以帮助他们理解程序的执行流程，找到关键的代码段，以及可能的恶意行为。通过分析这些特征，可以编写脚本或工具来自动定位OEP，以便于逆向工程和分析。 此外，OEP的...
PE文件添加节.zip
08-19
- **DOS头**：PE文件的开头是一个简化的MS-DOS头，使得在不支持PE格式的DOS系统中也能运行。 - **PE头**：紧跟DOS头的是PE签名（"PE\0\0"），之后是COFF（Common Object File Format）头，它包含了文件的基本信息...
VC读取PE文件的OEP（程序入口）
weixin_33797791的博客
06-12 826
为什么80%的码农都做不了架构师？>>> ...
PE格式文件的代码注入
谢启东的专栏
05-05 8078
 PE格式文件的代码注入   本文演示了在不需要重新编译源代码的情况下，怎样向Windows PE（Portable Executable）格式的文件（包括EXE、DLL、OCX）中注入自己的代码。 程序如图：         前言       或许，你想了解一个病毒程序是怎样把自身注入到一个正常的PE文件中的，又或者是，你为了保护某种数据而加密自己的P
逆向集录_00_不同程序OEP特征总结
weixin_30518397的博客
04-06 216
在分析/逆向 程序时，如果事先知道这类程序的一些特征，那将会是事半功倍的； 分析/逆向 程序，和写程序不同，比喻的话：写程序像在作案，分析/逆向 程序就像是在破案，对破案来讲，重在假想和推理； 特征1：VC链接器版本 VS版本 链接器版本 VS2017 14.12 VS2015 14.0, 14.1 VS2013 12.0 ...
【逆向】修改软件标题（基于PE Explorer）
热门推荐
HAPPY
08-13 1万+
【工具准备】 1.PEID     0.9中文版下载点击这里 2.PE Explore 下载地址点击这里 【实验过程】 1.首先用PEiD打开软件查壳，发现无壳，而且用basic编写的。                      2.然后用PE Explorer将软件打开 3.点击工具栏中的 "资源查看/编辑器" 按钮 （四个三角形构成的菱形图案） 4.单击左侧的 RC资源--...
修改函数代码HOOK的封装
hududumo
06-16 137
对外的接口： 1. 类初始化时对函数HOOK 2. //取消挂钩void UnHook(); 3. //重新挂钩void ReHook(); 在初始化时HOOK的代码： *(DWORD*)(m_btNewBytes+1) = (DWORD)pfnHook;8个字节的代码地址0xB8, 0x00, 0x00,0x40,0x00,0xFF,0xE0,0x00 只要把第二位和第三位成的数据改...
[DLL注入的方法]进程创建期修改PE输入表法
diheqiu3577的博客
09-03 404
　　进程创建期修改PE输入表法的原理和静态修改PE输入表完全相同，可以在R3/R0的各个阶段进行干预（必须在主线程运行之前）。 1.以读写方式打开目标文件： 2 //以读写方式打开目标文件 3 HANDLE hFile = CreateFile(szImageFilePath, 4 GENERIC_READ|GENERIC_WRITE, ...
OD修改加载外部DLL动态链接库运行
az44yao的专栏
03-07 3101
pushadmov  eax, 00d8dab0push eax      文件名call 004092F4  loadlibrarymov ebx,eax    传送句柄mov eax,00d8dad0  函数名push eax   函数名入栈push ebx   句柄入栈call 00409214     GetProcAddress 获得函数地址mov ecx,00d8dae0  参数pus...
二次内存镜像脱壳演示；找到OEP之后无法脱壳：无法读取内存，Bad DOS Signature解决方法
uiop_uiop_uiop的博客
01-29 1145
刚开始直接F2设置中断，会出现无法读取内存，Bad DOS Signature的情况： 在Windows XP下尝试使用LordPE，修正镜像大小后再右键 完整转存也不行 F2断点，无法dump内存，可以用内存断点：  再走一遍，点击上面的m：  run 再打内存断点 具体动画演示见：http://kxdkxd.f3322.net:8089/od.htm...
程序OEP入口识别特征分析
识别OEP是逆向工程的关键步骤，它可以帮助分析程序的启动过程、初始化代码，甚至可能揭示一些反调试技术。了解不同编译器生成的OEP特征，有助于在分析恶意软件或进行二进制级别的代码审计时更有效地导航和理解程序...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值