UPack PE头文件分析

最新推荐文章于 2022-04-08 19:53:19 发布
最新推荐文章于 2022-04-08 19:53:19 发布
阅读量180 收藏
点赞数
分类专栏： 逆向工程核心原理
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wk19951125/article/details/104294224
版权
本文使用Stud_PE工具对比分析了原始与UPack打包后的PE文件头，探讨了UPack如何篡改SizeOfOptionalHeader、NumberOfRvaAndSizes等关键字段，并详细解释了UPack如何通过重叠节区实现代码注入。此外，还讨论了RVA到RAW的转换以及导入表的结构和处理方式。
摘要由CSDN通过智能技术生成

UPack PE头文件分析

Stud_PE

查看UPack后的文件：
在这里插入图片描述

比较PE头文件

原始的PE文件头

在这里插入图片描述

UPack后的PE文件头

在这里插入图片描述

分析UPack的PE文件头

重叠文件头

在这里插入图片描述
在MZ文件头中，除了e_magic和e_lfanew以外，其他参数对于程序运行而言都不重要。

IMAGE_FILE_HEADER.SizeOfOptionalHeader

  • IMAGE_FILE_HEADER.SizeOfOptionalHeader表示IMAGE_OPTIONAL_HEADER结构体的长度（E0），修改该值可以向文件头插入解码代码。
  • UPack将其改为148
    在这里插入图片描述
    在这里插入图片描述
  • IMAGE_FILE_HEADER.SizeOfOptionalHeader另一层的含义为确定节区头的起始偏移
    • IMAGE_SECTION_HEADER的位置=IMAGE_OPTIONAL_HEADER的起始偏移地址+SizeOfOptionalHeader
    • UPack向其中插入了代码（28+148=170）
      在这里插入图片描述

IMAGE_OPTIONAL_HEADER.NumberOfRvaAndSizes

  • NumberOfRvaAndSizes：用来指出紧接在后面的IMAGE_DATA_DIRECTORY结构体数组的元素个数
    • 正常文件中IMAGE_DATA_DIRECTORY的个数为10，UPack改为了A
    • 所以后6个元素会被忽略，进而在这块复写了自己的代码

重叠节区

在这里插入图片描述

  • 实际上源文件压缩于第二节区
  • 第一节区内存尺寸为14000，与原文件的SizeOfImage相同，所以第二节区的文件映像会被原样解压到第一节区。
  • 原notepad.exe有3个节区，但会被解压到一个节区。

RVA to RAW

在这里插入图片描述
按照计算：
RAW=1018-1000+10=28
在这里插入图片描述
但其实由于PointerToRawData值应该是FileAlignment（200）的整倍数，所以会变成0：
RAW=1018-1000+0=18
在这里插入图片描述

导入表

在这里插入图片描述
RVA---->RAW：
271EE-27000+0=1EE
在这里插入图片描述

  • 根据规范，导入表由一系列IMAGE_IMPORT_DESCRIPTOR结构体组成，最后由一个内容为NULL的结构体结束
  • 但其后并不是第二个结构体，也非NULL，因为黄线以上才会被映射到内存区域，剩下部分全部填充NULL，所以也到了规范的要求
参考文献

《逆向工程核心原理》

你的名字5686
关注
专栏目录
UPack 压缩PE头文件分析（特点总结）
m0_62690279的博客
04-15 1133
文章目录UPack 头文件分析（特点总结）概述压缩方法PE文件头部分的特征表现特征具体改变重叠文件头具体修改文件头（IMAGE_FILE_HEADER)中可选头（IMAGE_OPTIONAL_HEADER)的长度（E0）原理（创造空间，插入代码）原因查看插入的代码修改可选头中的NumberOfRvaAndSizeNumberOfRvaAndSize具体修改IMAGE_SECTION_HEADER的空间利用重叠节区RVA to RAW的特征IMAGE_IMPORT_DESCRIPTOR array（导入表）的
UPack PE文件分析
learn112的博客
12-31 505
UPack PE文件分析 UPack UPack 是一个运行时压缩器，它会将PE文件打乱，使正常PE文件变形，从而让分析者摸不清头脑，另外，经过UPack压缩的PE文件会小很多 经过UPack压缩的PE文件 打开经过UPack压缩的PE文件，我们可以看到文件结构与普通PE文件大不一样（包括文件头，文件节区），如下图： DOS头有，但是只有一个签名5A4D（MZ） DOS存根没有了 看到00004550（PE）说明NT头有，但是这个NT头距离DOS头也太近了。。。 NT头的签名后面接着就是文件头（20个字节
UPack PE文件头详细分析
qq_39249347的博客
08-19 559
UPack是一款PE文件的运行时压缩器，其特点是用一种非常独特的方式对PE头进行变形，UPack会引起诸多现有的PE分析程序错误。 许多恶意代码使用UPack压缩字节的恶意代码并发布，由于这样的恶意代码非常多，现在大部分杀毒软件干脆将所有UPack压缩的文件全部识别为恶意文件并删除。 使用UPack压缩notepad.exe 将upack.exe与notepad.exe放到同一个文件夹下，输入如下命令： C:\Users\12586\Downloads\example\02\18\bin>Up.
Upack0.31 脱壳小试，附详细过程
sandikast的专栏
01-14 3400
一、Upack的加壳 Upack作为一种保护壳，独特的PE格式混淆与压缩是很让人惊叹的，很多PE分析器与自动脱壳软件脚本都被干掉了，dwing大神对PE装载器的理解之深入让人不得不佩服得五体投地。 作为测试，先用一个自己写的C#小程序作为加壳对象进行加壳： PEiD检测结果如下： 用百度到的第一个Upack0.31版本对原程序加壳，加壳后的程序PEID检测如下：
《逆向工程核心原理》学习笔记7 UPack加壳
EloflyS的博客
03-01 1275
《逆向工程核心原理》学习笔记7 UPack加壳 （好久没更了orz） UPack是一款用于给软件加壳的程序，通过对PE头的变形和压缩，达到不让别人识别文件作用的功能。因此骇客经常使用这种加壳程序对他们所编写的病毒进行包装。有些杀毒软件会不加分辨的直接把所有用UPack压缩的文件全部识别为病毒。（本身这个软件没有恶意） 首先要下载UPack，下载链接在这 https://download.csdn....
UPack PE文件分析与调试
Tokameine的博客
03-06 354
参考文章：https://blog.csdn.net/learn112/article/details/112029389 您可以将本篇文章当作该参考文章的拓展版、翻译版、压缩版，总之算是结合之后自己上手的过程记录。若您发现文章中出现错误，请务必指正。 范例：notepad_upack.exe 准备工具：010Editor、Stud_PE UPack：个人对其理解为一种压缩方法。将文件经过一定的算法编码压缩，在启动被压缩文件时将会按照逆过程解码。而其中比...
Stud_PE PE分析工具
01-30
而Stud_PE，作为一款专业的PE分析工具，相较于其他同类工具如PEview，其功能更为全面，尤其在处理UPack壳的PE头分析方面表现出色。 Stud_PE的核心优势在于其深度解析能力。它不仅能够提供标准的PE文件信息，如节区...
UPack的PE文件头分析与OEP查找
Mi1k7ea
06-11 1593
UPack（Ultimate PE压缩器），是一种PE文件的运行时压缩器，特点是使用独特的方法对PE头进行变形。UPack会使许多的PE分析程序无法正常运行，因此很多恶意代码都是通过UPack进行压缩。   UPack PE文件头分析 使用UPack压缩notepad.exe： UPack会直接压缩源文件而不会进行备份。压缩后的notepad文件更名为notepad_upack。 使...
《逆向工程核心原理》第18章----分析Upack
qq_55785697的博客
04-08 290
Upack的PE形式乍一看和规范相去甚远，实际上每一处都是精心设计的，在混淆人工分析的同时完美符合PE规范。主要是采取了以下多种手段。 一、重叠PE文件头 MZ文件头中对程序运行有用的只有标志位和偏移03C处NT映像头的起始位置，其余地方都是无影响可随意填充其他内容；依此可将NT映像头与MZ文件头重叠。 二、修改结构长度扩充空余空间 1.在IMAGE_FILE_HEADER结构中，SizeofOptionHeader这个参数代表可选头的大小，由于在PE32中大小是固定的E0，所以当参数大小超过E0时
扫描全能王1.1.3 （MAC版本）
最新发布
09-20
cam scanner,一般又称扫描全能王,Cam Scanner。 扫描全能王(CamScanner),全球智能扫描引领者。扫描全能王是一款集文件扫描、图片文字提取识别、PDF 内容编辑、PDF 分割合并、PDF 转 Word等功能
华南理工网络应用开发课程大作业springboot数码商城.zip(毕设&课设&实训&大作业&竞赛&项目)
09-20
项目工程资源经过严格测试可直接运行成功且功能正常的情况才上传，可轻松复刻，拿到资料包后可轻松复现出一样的项目，本人系统开发经验充足（全领域），有任何使用问题欢迎随时与我联系，我会及时为您解惑，提供帮助。 【资源内容】：包含完整源码+工程文件+说明（如有）等。答辩评审平均分达到96分，放心下载使用！可轻松复现，设计报告也可借鉴此项目，该资源内项目代码都经过测试运行成功，功能ok的情况下才上传的。 【提供帮助】：有任何使用问题欢迎随时与我联系，我会及时解答解惑，提供帮助 【附带帮助】：若还需要相关开发工具、学习资料等，我会提供帮助，提供资料，鼓励学习进步 【项目价值】：可用在相关项目设计中，皆可应用在项目、毕业设计、课程设计、期末/期中/大作业、工程实训、大创等学科竞赛比赛、初期项目立项、学习/练手等方面，可借鉴此优质项目实现复刻，设计报告也可借鉴此项目，也可基于此项目来扩展开发出更多功能 下载后请首先打开README文件（如有），项目工程可直接复现复刻，如果基础还行，也可在此程序基础上进行修改，以实现其它功能。供开源学习/技术交流/学习参考，勿用于商业用途。质量优质，放心下载使用。
基于SpringBoot仿天猫购物系统.zip(毕设&课设&实训&大作业&竞赛&项目)
09-20
项目工程资源经过严格测试可直接运行成功且功能正常的情况才上传，可轻松复刻，拿到资料包后可轻松复现出一样的项目，本人系统开发经验充足（全领域），有任何使用问题欢迎随时与我联系，我会及时为您解惑，提供帮助。 【资源内容】：包含完整源码+工程文件+说明（如有）等。答辩评审平均分达到96分，放心下载使用！可轻松复现，设计报告也可借鉴此项目，该资源内项目代码都经过测试运行成功，功能ok的情况下才上传的。 【提供帮助】：有任何使用问题欢迎随时与我联系，我会及时解答解惑，提供帮助 【附带帮助】：若还需要相关开发工具、学习资料等，我会提供帮助，提供资料，鼓励学习进步 【项目价值】：可用在相关项目设计中，皆可应用在项目、毕业设计、课程设计、期末/期中/大作业、工程实训、大创等学科竞赛比赛、初期项目立项、学习/练手等方面，可借鉴此优质项目实现复刻，设计报告也可借鉴此项目，也可基于此项目来扩展开发出更多功能 下载后请首先打开README文件（如有），项目工程可直接复现复刻，如果基础还行，也可在此程序基础上进行修改，以实现其它功能。供开源学习/技术交流/学习参考，勿用于商业用途。质量优质，放心下载使用。
客户关系管理系统，一个ssh练习。.zip(毕设&课设&实训&大作业&竞赛&项目)
09-20
项目工程资源经过严格测试可直接运行成功且功能正常的情况才上传，可轻松复刻，拿到资料包后可轻松复现出一样的项目，本人系统开发经验充足（全领域），有任何使用问题欢迎随时与我联系，我会及时为您解惑，提供帮助。 【资源内容】：包含完整源码+工程文件+说明（如有）等。答辩评审平均分达到96分，放心下载使用！可轻松复现，设计报告也可借鉴此项目，该资源内项目代码都经过测试运行成功，功能ok的情况下才上传的。 【提供帮助】：有任何使用问题欢迎随时与我联系，我会及时解答解惑，提供帮助 【附带帮助】：若还需要相关开发工具、学习资料等，我会提供帮助，提供资料，鼓励学习进步 【项目价值】：可用在相关项目设计中，皆可应用在项目、毕业设计、课程设计、期末/期中/大作业、工程实训、大创等学科竞赛比赛、初期项目立项、学习/练手等方面，可借鉴此优质项目实现复刻，设计报告也可借鉴此项目，也可基于此项目来扩展开发出更多功能 下载后请首先打开README文件（如有），项目工程可直接复现复刻，如果基础还行，也可在此程序基础上进行修改，以实现其它功能。供开源学习/技术交流/学习参考，勿用于商业用途。质量优质，放心下载使用。
Python网络爬虫与推荐算法新闻推荐平台(毕设&课设&实训&大作业&竞赛&项目)
09-20
Python网络爬虫与推荐算法新闻推荐平台：网络爬虫：通过Python实现新浪新闻的爬取，可爬取新闻页面上的标题、文本、图片、视频链接（保留排版） 推荐算法：权重衰减+标签推荐+区域推荐+热点推荐.zip项目工程资源经过严格测试可直接运行成功且功能正常的情况才上传，可轻松复刻，拿到资料包后可轻松复现出一样的项目，本人系统开发经验充足（全领域），有任何使用问题欢迎随时与我联系，我会及时为您解惑，提供帮助。 【资源内容】：包含完整源码+工程文件+说明（如有）等。答辩评审平均分达到96分，放心下载使用！可轻松复现，设计报告也可借鉴此项目，该资源内项目代码都经过测试运行成功，功能ok的情况下才上传的。 【提供帮助】：有任何使用问题欢迎随时与我联系，我会及时解答解惑，提供帮助 【附带帮助】：若还需要相关开发工具、学习资料等，我会提供帮助，提供资料，鼓励学习进步 【项目价值】：可用在相关项目设计中，皆可应用在项目、毕业设计、课程设计、期末/期中/大作业、工程实训、大创等学科竞赛比赛、初期项目立项、学习/练手等方面，可借鉴此优质项目实现复刻，设计报告也可借鉴此项目，也可基于此项目来扩展开发出更多功能 下载后请首先打开README文件（如有），项目工程可直接复现复刻，如果基础还行，也可在此程序基础上进行修改，以实现其它功能。供开源学习/技术交流/学习参考，勿用于商业用途。质量优质，放心下载使用。
基于java的课程思政元素收集遴选系统设计与实现.docx
09-20
基于java的课程思政元素收集遴选系统设计与实现.docx
购物小商城平台. 实现了前台页面系统。(毕设&课设&实训&大作业&竞赛&项目)
09-20
项目描述：建立购物小商城平台. 实现了前台页面系统。 技术描述：通过Spring 主框架来管理Struts2和Hibernate 框架搭建的电商小平台，用MySQL数据库并创建了表有用户表，订单表，商品表，商品分类表，商品内容表，购物车表等来存储数据。用到hibernate….zip项目工程资源经过严格测试可直接运行成功且功能正常的情况才上传，可轻松复刻，拿到资料包后可轻松复现出一样的项目，本人系统开发经验充足（全领域），有任何使用问题欢迎随时与我联系，我会及时为您解惑，提供帮助。 【资源内容】：包含完整源码+工程文件+说明（如有）等。答辩评审平均分达到96分，放心下载使用！可轻松复现，设计报告也可借鉴此项目，该资源内项目代码都经过测试运行成功，功能ok的情况下才上传的。 【提供帮助】：有任何使用问题欢迎随时与我联系，我会及时解答解惑，提供帮助 【附带帮助】：若还需要相关开发工具、学习资料等，我会提供帮助，提供资料，鼓励学习进步 【项目价值】：可用在相关项目设计中，皆可应用在项目、毕业设计、课程设计、期末/期中/大作业、工程实训、大创等学科竞赛比赛、初期项目立项、学习/练手等方面，可借鉴此优质项目实现复刻，设计报告也可借鉴此项目，也可基于此项目来扩展开发出更多功能 下载后请首先打开README文件（如有），项目工程可直接复现复刻，如果基础还行，也可在此程序基础上进行修改，以实现其它功能。供开源学习/技术交流/学习参考，勿用于商业用途。质量优质，放心下载使用。
java毕业设计源码ssm877基于java陪诊系统的设计与实现+vue程序数据库含论文.rar
09-20
前端采用的Vue框架，后端采用java语言，ssm框架，mybatis操作数据源，使用软件：idea,eclipse、MySQL。完成了用户登录管理等模块的设计与实现。完成了系统数据库的设计，并基于MySQL数据库管理系统 本系统基于SSM(Spring+SpringMVC+MyBatis)框架,适用于毕业设计， 基于B/S模式, mysql数据库,感兴趣的朋友们可以下载研究一下。 jdk版本:jdk1.8+ 前端：vue.js+ElementUI 开发工具：IDEA 或者eclipse都支持 编程语言: java 框架支持：ssm 数据库: mysql 版本不限 数据库工具：Navicat/SQLyog都可以 详细技术：java+ssm+vue+MYSQL+MAVEN
基于ASP的房屋租售信息管理系统的设计(源代码+论文).zip
09-20
1、资源项目源码均已通过严格测试验证，保证能够正常运行； 2、项目问题、技术讨论，可以给博主私信或留言，博主看到后会第一时间与您进行沟通； 3、本项目比较适合计算机领域相关的毕业设计课题、课程作业等使用，尤其对于人工智能、计算机科学与技术等相关专业，更为适合； 、4下载使用后，可先查看README.md或论文文件（如有），本项目仅用作交流学习参考，请切勿用于商业用途。 5、资源来自互联网采集，如有侵权，私聊博主删除。 6、可私信博主看论文后选择购买源代码。 1、资源项目源码均已通过严格测试验证，保证能够正常运行； 2、项目问题、技术讨论，可以给博主私信或留言，博主看到后会第一时间与您进行沟通； 3、本项目比较适合计算机领域相关的毕业设计课题、课程作业等使用，尤其对于人工智能、计算机科学与技术等相关专业，更为适合； 4、下载使用后，可先查看README.md或论文文件（如有），本项目仅用作交流学习参考，请切勿用于商业用途。 5、资源来自互联网采集，如有侵权，私聊博主删除。 6、可私信博主看论文后选择购买源代码。 1、资源项目源码均已通过严格测试验证，保证能够正常运行； 2、项目问题、技术讨论，可以给博主私信或留言，博主看到后会第一时间与您进行沟通； 3、本项目比较适合计算机领域相关的毕业设计课题、课程作业等使用，尤其对于人工智能、计算机科学与技术等相关专业，更为适合； 4、下载使用后，可先查看rEADME.md或论文文件（如有），本项目仅用作交流学习参考，请切勿用于商业用途。 5、资源来自互联网采集，如有侵权，私聊博主删除。 6、可私信博主看论文后选择购买源代码。
LogFeaturePack: Error: Error in Feature pack D:/UnrealEngine4/UE_5.0/UE_5.0/FeaturePacks/TP_VirtualRealityBP.upack. Failed to parse manifest: Invalid Json Token. Line: 43 Ch: 4
07-16
具体是位于 D:/UnrealEngine4/UE_5.0/UE_5.0/FeaturePacks/TP_VirtualRealityBP.upack 的 TP_VirtualRealityBP 特性包。 错误信息表明在解析清单文件时遇到了无效的 JSON 标记。具体指明了错误发生在第 43 行的第 4...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值