C++加壳流程

在加壳过程中，有一个加壳器程序和stub.dll两个文件，加壳器程序会把原文件（要加壳的文件）以文件方式读取到堆内存，它还是以文件对齐粒度（200h）对齐的，而stub.dll是以不处理的方式读取到了内存中，它是以内存粒度（1000h）对齐的。

使用LoadLibraryExA加载DLL并且第三个参数使用DONT_RESOLVE_DLL_REFERENCES的时候，他就不会对这个文件进行重定位等操作，是以原始形态加载到内存。

//将DLL以不会执行代码的标志加载到进程中.
HMODULE hStubDll = LoadLibraryExA("Stub.dll", 0,
DONT_RESOLVE_DLL_REFERENCES);

 

再自定义一个共享头文件share.h，这个文件保存一些加壳程序和stub.dll中都会用到的一些数据，封装的函数，及共用的结构体！

流程如下：

① 使用加壳器给被加壳程序添加新区段。

② 加密/压缩被加壳程序。

③ 将stub的代码段移植到新区段。

④ 将被加壳程序的OEP记录到share.h中。

⑤ 将被加壳程序的EP设置到新区段。

⑥ 去掉随机基址。

⑦ 保存为新文件。

移植数据到新区段，把整个stub.dll的代码段.text移植到目标文件新添加的区段中，这样就完成了最简单加壳操作。

当然事实上并没有那么简单，stub.dll里的.text段里面的数据需要先进行重定位修复，修复完成后再移植过去，这样壳区段才能正常运行起来。

首先根据stub.dll的重定位表获取出stub.dll中.text段需要重定位的数据，然后把该数据

① 减去原始基址
② 减去原始代码段Rva
③ 加上新基址（exe目标文件）
④ 加上新Rva    （exe中新添加的区段RVA）

 

用C++写代码，首先封装了很多常用的函数，如获取DOS头和NT头，区段头等。这样会节省后面大量敲代码的时间。

 

/获取DOS头
PIMAGE_DOS_HEADER GetDosHeader(char* pBase)
{
return (PIMAGE_DOS_HEADER)pBase;
}

//获取NT头
PIMAGE_NT_HEADERS GetNtHeader(char* pBase)
{
return (PIMAGE_NT_HEADERS)
(GetDosHeader(pBase)->e_lfanew + (DWORD)pBase);
}

 

例如获取NT头：

auto pNt = （PIMAGE_NT_HEADERS）GetNtHeader（pBase）;
C++里auto的功能是自动获取后面数据类型，这也体现了C++的强大之处。

完整重定位代码：

//修复stub的重定位
void FixStubReloc(char* pTarBuff, char*& hModule,DWORD dwNewBase,DWORD dwNewSecRva)
{
//获取sutb.dll重定位va
auto pReloc = (PIMAGE_BASE_RELOCATION)
(GetOptHeader(hModule)->DataDirectory[5].VirtualAddress
+ hModule);
//获取stub.dll的.text区段的Rva
DWORD dwTextRva = (DWORD)GetSecHeader(hModule, ".text")->VirtualAddress;

//修复重定位
while (pReloc->SizeOfBlock)
{
struct TypeOffset
{
WORD offset : 12;
WORD type : 4;
};
TypeOffset* pTyOf = (TypeOffset*)(pReloc + 1);
DWORD dwCount = (pReloc->SizeOfBlock - 8) / 2;
for (size_t i = 0; i < dwCount; i++)
{
if(pTyOf[i].type != 3)
continue;
//要修复的Rva
DWORD dwFixRva = pTyOf[i].offset + pReloc->VirtualAddress;
//要修复的地址
DWORD* pFixAddr = (DWORD*)(dwFixRva + (DWORD)hModule);
DWORD dwOldProc;
VirtualProtect(pFixAddr, 4, PAGE_READWRITE, &dwOldProc);
*pFixAddr -= (DWORD)hModule; //减去原始基址
*pFixAddr -= dwTextRva; //减去原始代码段Rva
*pFixAddr += dwNewBase; //加上新基址
*pFixAddr += dwNewSecRva; //加上新Rva
VirtualProtect(pFixAddr, 4, dwOldProc, &dwOldProc);
}
//指向下一个重定位块
pReloc = (PIMAGE_BASE_RELOCATION)
((DWORD)pReloc + pReloc->SizeOfBlock);
}
}

 现在只是暂时搭建一个壳框架所以先不处理随机基址的问题，所以要去掉随机基址，后期再来解决随机基址的问题。