-
-
[原创]静态注入实现思路总结
-
发表于: 2020-3-19 10:31 3534
-
静态注入的实质是:在原有PE结构基础上添加需要注入的DLL信息。也就是重新构造(修改)PE包。
要对PE文件进行修改,首先需要熟练地理解PE结构。在编程语言中结构的表达都是通过结构体表达的。PE文件的结构也是通过多个结构体来表达。要理解PE文件首先要理解PE文件结构不同部分是通过哪个结构体来表达的,其次还要理清结构体之间的引用的关系(一个解构里面可能引用其他的结构体)。PE文件结构理解起来还是有难度。
《加密与解密》第四版中对结构的分析是通过LordPE/Stud_PE和十六进制文件编辑软件来进行,个人的体验是这些软件使用起来不是很方便,因为很难体现出结构体的层次关系。有wirkshark抓包体验的,会觉的 wirkshark对包的解析查看起来是相当的方便,可以很快让使用者理解包的构成。基于这点,就在网络上找了一款软件,认为对PE的解析层次比较清晰的软件------010Editor(网络上有免费下载版),上个图:
有这个基础了,就可以重新构造结构。
《加密与解密》第四版 中的思路是:在文件最后开辟一片空间(空间里面包括需要注入的IID空间)保存原来的输入表和需要注入的IID信息------>原来的输入表清0,用来保存IMAGE_THUNK_DATA和IMAGE_IMPORT_BY_NAME信息--------->修改输入表的地址和大小-------->修改输入表的属性,让它具有写的属性------------>取消输入绑定--->保存文件--->执行--->验证结果。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!
最后于 2020-3-19 10:39
被kekeshi编辑
,原因:
赞赏
看原图
赞赏
雪币:
留言: