PE格式第五讲,手工添加节表

 

         PE格式第五讲,手工添加节表

 

作者:IBinary
出处:http://www.cnblogs.com/iBinary/
版权所有,欢迎保留原文链接进行转载:)

首先我们要用汇编编写一段汇编代码,用来生成标准PE

一丶标准PE生成的汇编代码

.386
.model flat, stdcall
option casemap:none

include windows.inc
include user32.inc
include kernel32.inc

includelib user32.lib
includelib kernel32.lib

.data
    g_szMsg db "Hello PE!", 0dh, 0ah, 00

.code
START:
  invoke MessageBoxA, NULL, offset g_szMsg, NULL, MB_OK
  invoke ExitProcess, 0

end START

然后可以生成一个标准PE

PE格式第五讲,手工添加节表_第1张图片

当然为了讲解这里使用标准PE,你也可以自己随便找个PE尝试.

二丶手工添加节表

手工添加节表,我们首先有几个步骤

/*

1.复制一个节到最后一个节下面
2.在NT头中的文件头中,修改节区数量的个数
3.修改节表中新节的虚拟地址大小 
4.修改节表中文件的对齐值
5.修改节表中新节的虚拟地址
6.修改可选头(选线头或者叫做扩展头)中的镜像大小
*/
写完才发现好像比这里面多一项,自己看下吧.有图有教程.不难.

首先我们先做第一步,找到最后一个节,拷贝一份,复制到下面

1.寻找最后一个节,复制到下面

当然也可以不是最后一个,不过最后一个比较方便

使用010 Edit打开我们的Hello.exe,找到最后一个节

PE格式第五讲,手工添加节表_第2张图片

010有强大的模版功能,使用模版,可以直接找到最后一个节,我们可以看到,现在有3个节存在

复制最后一个节,拷贝到0220h的地方

PE格式第五讲,手工添加节表_第3张图片

现在已经完成了第一步了,复制节到下边

2.修改NT头中的文件头中的节区数量

PE格式第五讲,手工添加节表_第4张图片

修改为4,使用模版功能可以快速找到

3.修改表中虚拟地址大小

使用010的模版重新解析以下,会发现我们的节已经添加了,现在要做的就是修正偏移了.

PE格式第五讲,手工添加节表_第5张图片

点击我们的节,开始修正偏移即可

修改我们新添加节的虚拟地址大小

PE格式第五讲,手工添加节表_第6张图片

4.修改新节中的虚拟地址

 PE格式第五讲,手工添加节表_第7张图片

上一个节的虚拟地址是从3000开始的,所以我们修改为4000h,相差一个分页即可.但是注意上图可以看出,我正要修改,还没有修改,这里我是修改了,只不过为了方便大家观看为什么修改,所以我在开始编辑的时候就截图了

5.修改文件对齐值

 PE格式第五讲,手工添加节表_第8张图片

文件对齐值默认是512,也就是200h,所以这里不用修改,但是注意,文件对齐值在可选头中可以设置的.不过最好不要动了.

6.设置文件偏移

PE格式第五讲,手工添加节表_第9张图片

上一个节的文件偏移是800开始,代表了节区的地址在800的位置,那么我们新添加的就改为A00h

%200(文件对齐值)对齐,这个地方使我们的节区

7.添加文件大小

上面我们设置了文件对齐值是200h了,那么我们就要添加200h(512)个字节,在对应的文件偏移处

我们设置的文件偏移处是A00,所以拷贝512个对齐值复制到A00位置即可.

PE格式第五讲,手工添加节表_第10张图片

8.设置文件映射大小

我们新添加了一个节,那么映射到内存中就要多出一个分页大小,我们要设置一下

设置位置 NT头->可选头->sizeofImage(文件映射大小)

PE格式第五讲,手工添加节表_第11张图片

 

保存PE文件,我们运行,然后OD调试查看.

 PE格式第五讲,手工添加节表_第12张图片

OD查看一下是否成功添加节

PE格式第五讲,手工添加节表_第13张图片

跳转到虚拟地址处查看

PE格式第五讲,手工添加节表_第14张图片

是我们设置的90,所以已经成功添加了一个节

 

作者:IBinary
出处:http://www.cnblogs.com/iBinary/
版权所有,欢迎保留原文链接进行转载:)

转载于:https://www.cnblogs.com/iBinary/p/7679712.html

你可能感兴趣的:(PE格式第五讲,手工添加节表)