-
-
[求助]PE文件添加节写入可执行代码中LoadLibraryA失败
-
发表于: 2016-8-25 20:46
-
写的代码是在目标EXE中添加了一个节，写入了自己的可执行代码，然后修改OEP，优先执行自己的代码，最后再跳回原OEP。
自己的可执行代码，主要的功能是自己找到Ntdll的基地址，找到GetProcAddress函数。再找到LoadLibraryA函数，加载user32.dll。最后从user32.dll上找到MessageBox函数弹出来个窗口。
但是代码在LoadLibraryA("user32.dll")这一步上就失败了，OD调试结果说是 0X0000007E错误，也就是找不到DLL。随后我尝试过把user32.dll拿出来在根目录下，用LoadLibraryExA来加载，返回了相同的错误。
希望有大牛帮我解决下。
PIS:前几天动手写这个前，在论坛搜到有人遇到跟我一样的问题。但是当时没有细看更没有保存，大家也可以帮我找找那贴。
下面是 LoadLibraryA 和 LoadLibraryExA函数OD前后的调试界面，以及源码。(写入的代码我是靠VS帮我从C转换到汇编加上部分内嵌汇编，应该不会有啥影响吧)
EncryptPE.txt
自己的可执行代码，主要的功能是自己找到Ntdll的基地址，找到GetProcAddress函数。再找到LoadLibraryA函数，加载user32.dll。最后从user32.dll上找到MessageBox函数弹出来个窗口。
但是代码在LoadLibraryA("user32.dll")这一步上就失败了，OD调试结果说是 0X0000007E错误，也就是找不到DLL。随后我尝试过把user32.dll拿出来在根目录下，用LoadLibraryExA来加载，返回了相同的错误。
希望有大牛帮我解决下。
PIS:前几天动手写这个前，在论坛搜到有人遇到跟我一样的问题。但是当时没有细看更没有保存，大家也可以帮我找找那贴。
下面是 LoadLibraryA 和 LoadLibraryExA函数OD前后的调试界面，以及源码。(写入的代码我是靠VS帮我从C转换到汇编加上部分内嵌汇编，应该不会有啥影响吧)
EncryptPE.txt
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
[QUOTE=linziqingl;1442964]我只想说 ： 你直接 函数 BOOL InjectPE(CHAR* szFileName) 然后 汇编代码 + 变量定义 对吗？你定义的变量 在壳运行时 寻址是 [ebp - xxxx] 但是问题来了你的 壳代码 开辟 堆栈变量了吗？（没有的！）你这种代码已经破坏掉堆栈数据了！ 加到 DLL 或驱...[/QUOTE]
感谢解带，我去学习下您的代码。感谢您的回答，有问题再咨询你 
|
|
|
|
