首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助]求教加壳程序如何加载PE文件的
发表于: 2013-4-16 14:57 4319

[求助]求教加壳程序如何加载PE文件的

organic 活跃值
3
2013-4-16 14:57
4319
最近在学习PE Loader的构建，将自己的程序加载到别的地方，把400000h的位置留给要加载的PE，这样可以不需要对exe文件进行重定位处理，但是却发现对400000h位置申请内存时总是失败，搜索了下看雪，有人是采用反汇编引擎对exe反汇编后重定位，暂时还没那个水平，不知道是不是加壳程序是采用对exe反汇编后重定位处理，还是把400000h的位置留给要脱壳后的PE省去重定位处理，加壳脱壳版块讲脱壳的好多，但讲写壳的除了版块置顶区玩命大哥的专题外很少看到了，如有详细讲解加壳原理和代码的帖子也烦请大家贴出来参考参考

[课程]FART 脱壳王！加量不加价！FART作者讲授！

收藏
免费 ・0
支持
分享
最新回复 (2)
yy大雄
雪    币： 183
活跃值： (1058)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
2 楼
看到很多壳，都把第一个区段的物理大小设置0的，但是有虚拟内存大小，这样，PE加载的时候，会自动分配第一个区段的虚拟内存。
2013-4-16 16:21
0
organic
雪    币： 659
活跃值： (489)
能力值： ( LV9，RANK：210 )
在线值：
发帖
回帖
粉丝
私信
3 楼
看了一天的加壳原理和代码，发现基本壳的加载PE的方式和我上面所说的不一样，加壳程序通过增加新的节添加壳代码，同时将加壳后的程序入口地址指向壳代码，这样程序运行后就会首先运行壳代码，壳代码再将原程序的节恢复至内存加载的原位置，这样就不需要重定位了，当然这种壳容易被脱，壳还原原程序的节后直接dump内存就壳获得原程序代码，然后通过修复相关的PE头就可以脱壳。本人没学过脱壳和加壳，不知道其他NB的壳是如何还原或加载原PE文件的，还希望了解的朋友们多多指教。
2013-4-17 20:19
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//