| 《加密解密 技术内幕》2.2 手工构造一个超微型的 PE 文件 |
| 责任编辑：酷酷の鱼 更新日期：2008-3-14 |
|
|
|
IMAGE_FILE_HEADER STRUCT
Machine *
NumberOfSections *
TimeDateStamp
PointerToSymbolTable
NumberOfSymbols
SizeOfOptionalHeader *
Characteristics *
IMAGE_FILE_HEADER ENDS
IMAGE_OPTIONAL_HEADER32 STRUCT
Magic *
MajorLinkerVersion
MinorLinkerVersion
SizeOfCode
SizeOfInitializedData
SizeOfUninitializedData
AddressOfEntryPoint *
BaseOfCode
BaseOfData
ImageBase *
SectionAlignment *
FileAlignment *
MajorOperatingSystemVersion *
MinorOperatingSystemVersion *
MajorImageVersion *
MinorImageVersion *
MajorSubsystemVersion *
MinorSubsystemVersion *
Win32VersionValue *
SizeOfImage *
SizeOfHeaders *
CheckSum
Subsystem *
DllCharacteristics *
SizeOfStackReserve *
SizeOfStackCommit *
SizeOfHeapReserve *
SizeOfHeapCommit *
LoaderFlags
NumberOfRvaAndSizes *
DataDirectory
IMAGE_OPTIONAL_HEADER32 ENDS
对于 DataDirectory 中不需要的成员可以不要，只留下 Export Directory 和 Import Directory。
整个 PE Header 的大小为 88h 字节，其中 Optional Header 的大小为 70h 字节。
3. Section Table
IMAGE_SECTION_HEADER STRUCT
Name1 <-- ZTS 编写
union Misc
PhysicalAddress
VirtualSize <-- B4 00 00 00
ends
VirtualAddress <-- 00 00 00 00
SizeOfRawData <-- B4 00 00 00
PointerToRawData <-- 00 00 00 00
PointerToRelocations <-- 00 00 00 00
PointerToLinenumbers <-- 00 00 00 00
NumberOfRelocations <-- 00 00
NumberOfLinenumbers <-- 00 00
Characteristics <-- E0 00 00 E0
IMAGE_SECTION_HEADER ENDS
整个文件的内容就是节的内容，最后文件的全部内容会被完整的映射到 400000h 的地址处。
因为映射到内存中后文件的内容后面都是 0，所以相当于节表以一个全 0 元素结束。
4. Import
文件只需要从 user32.dll 中输入一个函数 MessageBoxA，所以输入表中有一个非 0 成员
和一个结束的全 0 成员。就因为要保证有一个全 0 成员来结束输入表，所以也把输入表放
在文件的末尾，和节的情况一样，当文件被映射到内存中后，文件后面的内容都是 0，就相当
于有一个全 0 成员。
一个输入表成员的大小是 20 字节，在节表当中找出没有被利用的域用来放输入表，找到了从
SizeOfRawData 开始的位置。输入表中的 OriginalFirstThunk ，TimeDateStamp 和
ForwarderChain 都是没用的域，不用管他们是什么值，所以不会因为在节表中插入输入表而
改变节表中有用的域：SizeOfRawData 和 PointerToRawData 。
还有的就是 Name 和 FirstThunk 啦，在文件中找到偏移 0Ch 的地方写入 user32.dll，然
后把 Name 指向偏移 0Ch，这个偏移就是文件头中 TimeDateStamp 的偏移位置。在文件中再
找到一个偏移位置 78h 来放 IAT，然后把 FirstThunk 指向偏移 78h，这个偏移是文件头中
NumberOfRvaAndSizes 的偏移位置。在上面虽然说了 NumberOfRvaAndSizes 域不能随便填
数据（打了 * 标志），但这个域只要不填 2 以下的值就可以，所以我们可以利用。
填好的样子如下：
00000070 C4 01 00 80 00 00 00 00 ................
00000080
00000090 B4 00 00 00 ................
000000A0 00 00 00 00 00 00 00 00 0C 00 00 00 78 00 00 00 ............x...
为了减少文件的大小，输入 MessageBoxA 函数是通过序号的方式引入的。
手工写好输入表之后把输入表的偏移和大小填到 DataDirectory 数组的 Import Directory
成员中去，偏移为 9Ch，大小为 28h。
5. 代码
所有准备工作做完就开始写代码，代码也需要从文件头中间找没用的域来存放。找找文件头发现
还有两个地方没有被使用，一个是 MajorLinkerVersion 开始的 14 个字节，偏移为 1Eh，另
一个是 BaseOfCode 开始的 8 个字节，偏移为 30h。
需要的代码写好就是下面的样子：
0000001E: 6A00 push 0
00000020: B88C004000 mov eax,40008C
00000025: 50 push eax
00000026: 50 push eax
00000027: 6A00 push 0
00000029: EB05 jmp 000000030
00000030: FF1578004000 call dword ptr [00400078]
00000036: C3 ret
把代码对应的 16 进制值填到偏移 1Eh 和 30h 处就行了。
保存文件，所有的工作就结束了。最后把注意事项再总结一下：
1. 如果 FileAlignment 小于 200h，则要求 FileAlignment == SectionAlignment >= 2
2. 如果 FileAlignment 小于 200h，则要求 VirtualAddress == PointerToRawData
3. VirtualSize <= SizeOfRawData
4. SizeOfHeaders < SizeOfImage
5. NumberOfRvaAndSizes >= 2 数据目录结构的数量要求不小于 2
6. 节表和输入表都要求有一个结束的全 0 成员
胡乱写了一点，希望不会浪费大家太多时间，如果有错误还望各位大侠指点指点，也好让象我这
样的菜鸟能多学一些东西。 上一页 [1] [2] |
|
| 上一篇文章： 《加密解密 技术内幕》2.1 关于PE可执行文件的修改 |
| 下一篇文章： 《加密解密 技术内幕》 3.1 病毒是如何抗动态测试 |
|
|
|
|
