2. 程式人生 > >編寫自定義PE結構的程式(如何手寫一個PE，高階編譯器都是編譯好的PE頭部,例如MASM,TASM等，NASM,FASM是低階編譯器.可以自定義結構)

編寫自定義PE結構的程式(如何手寫一個PE，高階編譯器都是編譯好的PE頭部,例如MASM,TASM等，NASM,FASM是低階編譯器.可以自定義結構)

阿新 • • 發佈：2019-01-02

正在學PE結構...感謝個位大哥的文章和資料...這裡先說聲謝謝

一般高階編譯器都是編譯好的PE頭部,例如MASM,TASM等
一直都說NASM,FASM是低階編譯器.可以自定義結構
但是苦於無人釋出相關文章說明..我這裡就簡單的用NASM寫一下
由於剛學PE結構許多東西都不太懂希望個位大俠指點
如何打造一個迷你的PE結構..我暫只只能作到617位元組
下面隨著學習的深入...還有更迷你的PE出現...

程式碼可以直接編譯..
編譯引數:nasmw -fbin MsgBoxA.asm -o MsgBoxA.exe

請下載最新的NASM for Win32編譯器
當前最新版本:NASM 0.98.39

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> ;Small PE Header Demo For NASM
;Email:[email protected] ; ;程式碼說明:NASM 編寫迷你PE程式碼.(C) 2006.3.20 ;1.自構造PE頭部 ;2.自構造匯入表結構 ; ;Thank:Vecna[29A],Nguga aka PedroGC Made NAGOA+.INC ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
  [BITS 32] %define    CODE_BASE    1000h               ;程式碼基址 %define    RVADIFF      1000h-200h          ;計算記憶體資料與硬碟資料相對便宜 %define    imagebase    00400000h           ;程式碼基址 %define    reloc        RVADIFF+imagebase   ;全域性偏移--一個很重要的引數   ;DOS STUB頭部 MZ_Header: .magic                  dw  "MZ"      ;01 02----DOS STUB標識[關鍵資料] .cblp                   dw 435Bh    ;03 04--[非關鍵資料] . cp                      dw 415Dh    ;05 06--[非關鍵資料] .crlc                   dw 736Eh    ;07 08--這十個位元組我們可以寫一點自己的個人資訊[非關鍵資料] .cparhdr                dw 796Bh    ;09 10--[非關鍵資料] .minalloc               dw 2161h    ;11 12--[非關鍵資料]   PE_Header: .Signature               dd  "PE"      ;13 14 | 15 16----PE 頭部起始[關鍵資料] .Machine                dw 14Ch     ;17 18----該檔案執行所要求的CPU:IMAGE_FILE_MACHINE_I386[關鍵資料] .NumberOfSections       dw 1        ;19 20----檔案節數量[關鍵資料] .TimeDateStamp           dd  0h       ;21 22 | 23 24----檔案建立日期和時間[非關鍵資料] .PointerToSymbolTable    dd  0h       ;25 26 | 27 28----除錯資訊-[非關鍵資料] .NumberOfSymbols         dd  0h       ;29 30 | 31 32----除錯資訊-[非關鍵資料] .SizeOfOptionalHeader   dw 0E0h     ;33 34----OptionalHeader 結構大小[關鍵資料] .Characteristics        dw 103h     ;35 36----檔案資訊的標記:比如檔案是exe還是dll[關鍵資料]   Optional_Header: .Magic                  dw 10Bh     ;37 38----[關鍵資料] .MajorLinkerVersion     db 0h       ;39----[非關鍵資料] .MinorLinkerVersion     db 0h       ;40----[非關鍵資料] .SizeOfCode              dd  0h       ;41 42 | 43 44----[非關鍵資料] .SizeOfInitializedData   dd  0h       ;45 46 | 47 48----[非關鍵資料] .SizeOfUninitialzedData  dd  0h       ;49 50 | 51 52----[非關鍵資料] .AddressOfEntryPoint     dd  code+RVADIFF ;53 54 | 55 56----程式碼基址+RVA=此值---需要計算[關鍵資料] .BaseOfCode              dd  0h   ;57 58 | 59 60----程式碼基址[非關鍵資料] ;.BaseOfData             dd  DATA_BASE    ;資料基址-被下面的.lfanew替換了~這個數值本身也沒有什麼用 .lfanew                  dd  0Ch      ;61 62 | 63 64----標識.PE頭部的起始位置這裡寫為C-看上面第13位元組 ;DOS STUB部分的最後結尾部分---標識:PE頭部的起始位置~他的位置是固定的所以只能寫在最後了 ;align 16, DB 0                     .ImageBase               dd  imagebase;65 66 | 67 68----記憶體對映基址--預設為00400000h[關鍵資料] .SectionAlignment        dd  01000h   ;69 70 | 71 72----記憶體中節對齊--如果該值是1000h那麼每節的起始地址必須是4096的倍數, .FileAlignment           dd  0200h    ;73 74 | 75 76----檔案對齊[關鍵資料]..明白吧 .MajorOperSystemVersion dw 0h       ;77 78--[非關鍵資料] .MinorOperSystemVersion dw 0h       ;79 80--[非關鍵資料] .MajorImageVersion      dw 0h       ;81 82--win32子系統版本。若PE檔案是專門為Win32設計的[非關鍵資料] .MinorImageVersion      dw 0h       ;83 84--該子系統版本必定是4.0否則對話方塊不會有3維立體感[非關鍵資料] .MajorSubsystemVersion  dw 4        ;85 86--[關鍵資料] .MinorSubsystemVersion  dw 0        ;87 88--[關鍵資料] .Reserved1               dd  0        ;89 90 | 91 92----[非關鍵資料] .SizeOfImage             dd  2000h    ;93 94 | 95 96----記憶體中整個PE映像體的尺寸,它是所有頭和節經過節對齊處理後的大小[關鍵資料] .SizeOfHeaders           dd  code     ;97 98 | 99 100---所有頭+節表的大小,也就等於檔案尺寸減去檔案中所有節的尺寸,可以以此值作為PE檔案第一節的檔案偏移量[關鍵資料] .CheckSum                dd  0h       ;101 102 | 103 104----[非關鍵資料] .Subsystem              dw 2        ;105 106----PE檔案屬子系統,2=Win32 GUI,3=Win32 Console[關鍵資料] .DllCharacteristics     dw 0        ;107 108----[非關鍵資料]   .SizeOfStackReserve1     dd  100000h  ;109 110 | 111 112----[關鍵資料] .SizeOfStackCommit1      dd  2000h    ;113 114 | 115 116----[關鍵資料] .SizeOfStackReserve2     dd  100000h  ;117 118 | 119 120----[關鍵資料] .SizeOfStackCommit2      dd  2000h    ;121 122 | 123 124----[關鍵資料]   .LoaderFlags             dd  0h       ;125 126 | 127 128----[非關鍵資料] .NumberOfRvaAndSizes     dd  10h      ;129 130 | 131 132----[關鍵資料]   Data_Directories: .ExportRva               dd  0h       ;133 134 | 135 136----匯出表虛擬偏移[非關鍵資料] .ExportSize              dd  0h       ;137 138 | 139 140----匯入表長度[非關鍵資料] .ImportRva               dd  import +RVADIFF   ;141 142 | 143 144----匯入表虛擬偏移[關鍵資料] .ImportSize              dd  code_end- import   ;145 146 | 147 148----匯入表長度[關鍵資料] ;匯入表結構部分~這個地方需要仔細構造[尚未研究徹底] ;.misc_sectionz  times  28  dd  0       ;其他部分~對於我們完全沒用的 .ResourceRva             dd  0h       ;資源表虛擬偏移[非關鍵資料] .ResourceSize            dd  0h       ;資源表長度[非關鍵資料] .ExceptionRva            dd  0h       ;沒玩過這東東[非關鍵資料] .ExceptionSize           dd  0h       ;沒玩過這東東[非關鍵資料] .CertificateRva          dd  0h       ;沒玩過這東東[非關鍵資料] .CertificateSize         dd  0h       ;沒玩過這東東[非關鍵資料] .BaseRelocationRva       dd  0h       ;基址重定位表虛擬偏移[非關鍵資料] .BaseRelocationSize      dd  0h       ;基址重定位表長度[非關鍵資料] .DebugRva                dd  0h       ;除錯資訊虛擬偏移[非關鍵資料] .DebugSize               dd  0h       ;除錯資訊長度[非關鍵資料] .DescriptionRva          dd  0h       ;沒玩過這東東[非關鍵資料] .DescriptionSize         dd  0h       ;沒玩過這東東[非關鍵資料] .MachineRva              dd  0h       ;沒玩過這東東[非關鍵資料] .MachineSize             dd  0h       ;沒玩過這東東[非關鍵資料] .TLSRva                  dd  0h       ;執行緒處理資料[關鍵資料] .TLSSize                 dd  0h       ;執行緒處理資料長度[關鍵資料] .LoadConfigRva           dd  0h       ;沒玩過這東東[關鍵資料] .LoadConfigSize          dd  0h       ;沒玩過這東東[關鍵資料] .BoundImportRva          dd  0h       ;繫結匯入表資料[關鍵資料] .BoundImportSize         dd  0h       ;繫結匯入表資料長度[關鍵資料] .IATRva                  dd  0h       ;沒玩過這東東[關鍵資料] .IATSize                 dd  0h       ;沒玩過這東東[關鍵資料] .DelayImportDescriptor1  dd  0h       ;沒玩過這東東[非關鍵資料] .DelayImportDescriptor2  dd  0h       ;沒玩過這東東[非關鍵資料] .COMRuntimeHeader1       dd  0h       ;COM+ 時間連線庫虛擬偏移地址[非關鍵資料] .COMRuntimeHeader2       dd  0h       ;COM+ 時間連線庫長度[非關鍵資料] .Reserved1               dd  0h       ;這東東就真的沒聽說過了[非關鍵資料] .Reserved2               dd  0h       ;這東東就真的沒聽說過了[非關鍵資料] ;以上乃~~PE結構頭部資訊~請按照說明進行修改---謝謝我自己   sections: .SectionName            db  ".Anskya" ,0 .VirtualSize             dd  CODE_BASE    ;虛擬體積 .VirtualAddress          dd  CODE_BASE    ;虛擬地址 .SizeOfRawData           dd  code_end-code;資料體積 .PointerToRawData        dd  code         ;資料偏移 .PointerToRelocations    dd  0 .PointerToLinenumbers    dd  0 .NumberOfRelocations    dw 0 .NumberOfLinenumbers    dw 0 .Characteristics         dd  0E0000060h   ;段屬性...不用說了吧   align 200h, DB 0                        ;對齊0x200   code:      pushad      sub eax,eax      push eax                            ;0      push 00400105h                      ;把節名稱壓入堆疊      push 00400002h                      ;把MZ後面的個人資訊壓入堆疊      push eax                            ;MB_OK      call [MessageBoxA]                  ;呼叫匯入表地址      popad      ret       align 16, DB 0   ;以下匯入表部分....僅僅為了演示就沒有寫匯出表部分...具體參見<<軟體加密技術內幕>> import   dd  0          dd  0          dd  -1          dd  dll001+RVADIFF                dd  api001+RVADIFF                    times  5  dd  0                    ;空處4*5個00的空位           dll001  db  'USER32.DLL' ,0               ;匯入DLL名稱   api001   dd  api101+RVADIFF               ;計算匯入表的記憶體地址          dd  0           api101  dw 0          db  'MessageBoxA' ,0              ;匯入函式           MessageBoxA equ api001+reloc+4*0        ;函式地址宣告...如有多餘的函式請api00N+reloc+4*N   code_end:



相關程式碼見附件... 

 

 

https://bbs.pediy.com/thread-28316.htm

相關推薦

編寫自定義PE結構的程式(如何手寫一個PE，高階編譯器都是編譯好的PE頭部,例如MASM,TASM等，NASM,FASM是低階編譯器.可以自定義結構)

正在學PE結構...感謝個位大哥的文章和資料...這裡先說聲謝謝一般高階編譯器都是編譯好的PE頭部,例如MASM,TASM等一直都說NASM,FASM是低階編譯器.可以自定義結構但是苦於無人釋出相關文章說明..我這裡就簡單的用NASM寫一下由於剛學PE結構許多東西都不太懂希望個位大俠指點如何打造一個迷你的PE

MFC 程式 手寫建立順序

MFC 程式 手寫建立順序 1.繼承CWinApp類 覆蓋 class CMyApp : public CWinApp { virtual BOOL InitInstance(); } BOOL CMyApp::InitInstance() { CMyFrameWnd　＊pWnd

小程式 手寫 規格 彈框

<!--規格--> < view wx:if= "{{spec_modal}}" style= "position:fixed;top:0;left:0;width:100%;height:100%;backgr

教你用TensorFlow和自編碼器模型生成手寫數字（附程式碼）

來源：機器之心 本文長度為1876字，建議閱讀4分鐘 本文介紹瞭如何使用 TensorFlow 實現變分自編碼器（VAE）模型，並通過簡單的手寫數字生成案例一步步引導讀者實現這一強大的生成模

jafka安裝配置和啟動一個自帶例項和手寫一個例項

Jafka 是一個開源的/效能良好的分散式訊息系統。在上一篇文章中有所簡單介紹。下面是一篇簡單的入門文件。更多詳細的文件參考wiki。Step 1: 下載最新的安裝包 $wget https://github.com/downloads/adyliu/jafka/jafka-1.0.tgz $tar x

面試必問：手寫一個記憶體洩漏的程式

手寫一個記憶體洩露的程式是面試官經常問的問題。 造成記憶體洩漏，就是讓執行的程式無法訪問儲存在記憶體中的物件，下面是Java實現： 建立一個長時間執行的執行緒（使用執行緒池洩露的速度更快）。 執行緒通過ClassLoader載入某個類（也可以用自定義ClassLoader）。 這個類分配了大量記憶體（例如n

爬蟲入門 手寫一個Java爬蟲

fun sts 重試 功能 bool 內核 ftw private 查找 本文內容 淶源於 羅剛 老師的 書籍 << 自己動手寫網絡爬蟲一書 >> ; 本文將介紹 1: 網絡爬蟲的是做什麽的? 2: 手動寫一個簡單的網絡爬蟲; 1: 網絡爬蟲是做

10min 手寫一個內存監控系統

int idt 根據 size tex boot mysq issue 內存監控 本文的目的在於，盡可能用簡單的代碼，讓大家了解內存監控的原理，及思想。更容易去理解Nagios、Zabbix、Ganglia監控原理，文章最後還有視頻教程鏈接哦，從零敲出來的全過程 思路分為下

手寫一個簡化版Tomcat

exc ext login 變量 請求參數 finally engine catch container 一、Tomcat工作原理 我們啟動Tomcat時雙擊的startup.bat文件的主要作用是找到catalina.bat，並且把參數傳遞給它，而catali

手寫一個簡易版Tomcat

處理 http協議 部署 對象 這一 -m 輸入流 gconf 一個tomcat 前言 Tomcat Write MyTomcat Tomcat是非常流行的Web Server，它還是一個滿足Servlet規範的容器。那麽想一想，Tomcat和我們的Web應用是什麽關

wsgiref手寫一個web服務端

'''通過wsgiref寫一個web服務端先講講wsgiref吧，基於網路通訊其根本就是基於socket，所以wsgiref同樣也是通過對socket進行封裝，避免寫過多的程式碼，將一系列的操作封裝成一個方法(函式),這樣大大減少程式碼量''' from wsgiref.simple_server i

爬蟲入門 手寫一個Java爬蟲

原文：https://www.cnblogs.com/sanmubird/p/7857474.html 本文內容 淶源於  羅剛 老師的 書籍 << 自己動手寫網路爬蟲一書 >> ; 本文將介紹 1: 網路爬蟲的是做什麼的?&n

前端面試之手寫一個bind方法

bind 函式對於寫react的人來說並不陌生。哦！是的，沒錯我的朋友，它的一個用處就是用來改變函式this指向的。如果細究一下bind的實現，發現裡面還是有不少東西的，我們今天展開討論一下。 在說bind之前呢，我們還要先來講講我們的老熟人 **this。今天我們再來看看它的四種

看年薪50W的架構師如何手寫一個SpringMVC框架（文末附視訊）

前言 做 Java Web 開發的你，一定聽說過SpringMVC的大名，作為現在運用最廣泛的Java框架，它到目前為止依然保持著強大的活力和廣泛的使用者群。 本文介紹如何用eclipse一步一步搭建SpringMVC的最小系統，所謂最小系統，就是足以使專案在SpringMVC框架下成功

【乾貨】JDK動態代理的實現原理以及如何手寫一個JDK動態代理

動態代理 代理模式是設計模式中非常重要的一種型別，而設計模式又是程式設計中非常重要的知識點，特別是在業務系統的重構中，更是有舉足輕重的地位。代理模式從型別上來說，可以分為靜態代理和動態代理兩種型別。 在解釋動態代理之前我們先理解一下靜態代理： 首先你要明白靜態代理的作用 我們有一

動態代理：如何深入理解和分析，不如手寫一個(原始碼包分析、樓主親測)

如何分類Java語言？ Java是靜態的強型別語言，但是因為提供了類似反射等機制，也具備了部分動態語言的能力。 一、動態代理的簡單描述 動態代理是一種方便執行時動態構建代理、動態處理代理方法呼叫的機制，很多場景都是利用類似的機制做到的，比如用來包裝RPC呼叫、面向切面的程式設

Java反射：如何正確理解，不如手寫一個(反射包分析、樓主親測)

Java反射機制、動態代理是基於什麼原理？ 這個問題可謂是老生常談的一個熱門問題了，如果沒有深入的思考還真的是很難回到上來。那麼今天我們一起來看看，如何正確清晰的認識這個熱門卻又說簡單又不簡單說複雜又比較複雜的問題。 一、什麼是反射 反射機制是Java語言提供的一種基礎功能

資料庫連線池認知+手寫一個

首先推薦一篇不錯的文章。https://www.cnblogs.com/newpanderking/p/3875749.html 接下來，看了這篇文章之後，我們再看一下 1.首先是連線池的規範 /** * 連線池 頂級規範 */ public interface IPool {

管理系統的登入控制？手寫一個釋出訂閱模型！

最近做了一個後臺的專案，既然是後臺管理系統，登入的控制自然是少不了的。 接到需求——後臺系統！花了幾乎半天搞出來了Webpack配置、搞出來了React Router、搞出來了 React 程式碼基本的結構，下一步就是搞所謂的“登入邏輯”了。 正好 React v16 大變，而自己最近又有些時候沒寫過Re

教你如何使用Java手寫一個基於連結串列的佇列

　　在上一篇部落格【教你如何使用Java手寫一個基於陣列的佇列】中已經介紹了佇列，以及Java語言中對佇列的實現，對佇列不是很瞭解的可以我上一篇文章。那麼，現在就直接進入主題吧。 　　這篇部落格主要講解的是如何使用單鏈表實現一個簡單版的佇列。單向連結串列佇列是屬於非迴圈佇列，同時佇列的長度是不受限制的，也就