-
-
[原创]动手写加密壳
-
发表于: 2015-7-15 18:46
-
这个是继上一篇加密壳帖子 masm32写加密壳 的另一篇新帖。不同的是，这次将采用vc++来编译壳
工程文件已经打包。 解决方案内有2个项目：EasyProtect 和 Shell。
EasyProtect 是用来加壳的。
Shell就是壳的核心，编译后是Shell.dll。
EasyProtect 流程：
打开被加壳文件 -> 打开Shell.dll -> 提取shell.dll代码段(.MyCode) 数据 ->在被加壳文件中创建新的区段->重定位Shell.dll的代码数据->把重定位好的代码数据写到被加壳程序的新区段中->加密被加壳程序代码段->修正OEP
但是还有一些细节没有提及。
packPE 加壳函数。
bool packPE(char * szFileName)
{
CPeFile MyPe;
CPeFile MyShell; // 壳也是一个编译的pe文件
PIMAGE_SECTION_HEADER pNewSec,pShellSec;
PMyDosHeader pDosHead;
char *shellcode;
if(!MyPe.LoadPe(szFileName))
return false;
if(!MyShell.LoadPe(SHELL_FILE))
return false;
pDosHead = (PMyDosHeader)MyPe.GetBuffer();
if (pDosHead->info.flag==0x1447) // 已经加密过了
return false;
/* 获取壳的代码段 */
pShellSec = MyShell.FindSectionByName(".MyCode");
pNewSec = MyPe.AddSection(".fishc",pShellSec->SizeOfRawData);
if(!pNewSec) return false;
// 重定位数据 0.0
FixRelocBase2(MyShell,MyPe.GetImageBase(),pNewSec->VirtualAddress);
// 复制代码数据
shellcode = new char[pShellSec->SizeOfRawData];
bool bRet =
MyShell.ReadDataByRaw(pShellSec->PointerToRawData,shellcode,pShellSec->SizeOfRawData);
if(!bRet)return false;
bRet =
MyPe.WriteDataByRaw(pNewSec->PointerToRawData,shellcode,pShellSec->SizeOfRawData);
if(!bRet) return false;
delete shellcode;
// 加密代码段
char *buf;
char *key = "mooncakeisverylovelygirl";
PIMAGE_SECTION_HEADER cs;
pDosHead->info.CodeSec=MyPe.GetCodeSection();
cs = MyPe.GetSectionById(pDosHead->info.CodeSec);
buf = (char *)MyPe.GetBuffer();
xorPlus(&buf[cs->PointerToRawData],cs->SizeOfRawData,key,strlen(key));
// 修正OEP
DWORD t;
// 获得壳的入口函数在.MyCode中的偏移
t = MyShell.GetEntry() - pShellSec->VirtualAddress;
// 把这个偏移加上新区段的基址就是最终的入口偏移
t+=pNewSec->VirtualAddress;
//保存源程序OEP
DWORD orgOEP;
orgOEP = MyPe.GetEntry()+MyPe.GetImageBase();
pDosHead->info.oep = orgOEP;
pDosHead->info.flag = 0x1447;
MyPe.SetNewEntry(t);
MyPe.FlushBuffer(); //把缓冲区的数据保存到硬盘
return true;
}
void FixRelocBase2(CPeFile &cPe,DWORD ImageBase,DWORD SecBase)
{
PIMAGE_BASE_RELOCATION rel;
DWORD relNum;
rel=(PIMAGE_BASE_RELOCATION)(
cPe.rva_to_buffer(cPe.GetDataDirInfo(IMAGE_DIRECTORY_ENTRY_BASERELOC)->VirtualAddress)
);
while (rel->SizeOfBlock)
{
relNum=(rel->SizeOfBlock-8)/2;
for (DWORD i=0;i<relNum;i++)
{
char Type;
Type = rel->TypeOffset[i]>>12;
if (Type==3)
{
DWORD *relAdr;
relAdr = (DWORD *)rel->VirtualAddress;
relAdr = (DWORD *)cPe.rva_to_buffer((DWORD)relAdr + (rel->TypeOffset[i]&0x0fff));
*relAdr -= cPe.GetImageBase(); //算出RVA
*relAdr -=cPe.FindSectionByName(".MyCode")->VirtualAddress;
*relAdr +=SecBase;
*relAdr +=ImageBase;
}
}
rel=(PIMAGE_BASE_RELOCATION)((DWORD)rel + rel->SizeOfBlock);
}
}
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
好东西收藏一份
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
