[原创]扩展任意节大小.
发表于:
2009-3-30 14:10
如题.C++语言 : ExpandSection int int if return false int //对齐后需要扩展的Vsize [/I]int //对齐后需要扩展的Rsize [/I]//指向扩展后的文件镜像 [/I]int //新文件的ImageSize [/I]0 )0 ? 1 : 0 ) ) * pNtHeader->OptionalHeader.SectionAlignment;0 ? pNtHeader->OptionalHeader.SectionAlignment : 0 ;0 )0 ? 1 : 0 ) ) * pNtHeader->OptionalHeader.FileAlignment;0 ? pNtHeader->OptionalHeader.FileAlignment : 0 ;" \r\n iExpandVsize:%08X,iExpandRsize:%08X \r\n " , iExpandVsize, iExpandVsize);//Copy文件头 [/I]//调整新文件头指针 [/I]"pNewDosHeader:%p \r\n " , pNewDosHeader);"pNewNtHeader:%p \r\n " , pNewNtHeader);sizeof "pNewSectionHeader:%p \r\n " , pNewSectionHeader);1 ;int //在这个RVA后添加 [/I]int //在这个Offset后添加 [/I]//所有在BreakPoint后面的参数(偏移 or RVA)都要加上iExpandVSize or iExpandRSize [/I]0 ; [I]// 指向调试符号,RVA [/I]0 ; [I]//指向文件入口点,RVA [/I]0 ; [I]//代码基址,RVA [/I]0 ; [I]//数据基址,RVA [/I]//镜像大小 ,得加 [/I]//pNtHeader->OptionalHeader.SizeOfCode 不知道咋搞,不管他, 反正不管他也没事 [/I]//这个先不管, 到后面再去修改得了... [/I]//for ( int i = 0; i < 16; i++) //DataDirectory ,RVA, 一共有16项 [/I]//{ [/I]// pNewNtHeader->OptionalHeader.DataDirectory[i].VirtualAddress += pNewNtHeader->OptionalHeader.DataDirectory[i].VirtualAddress > iTheBreakRVA && pNewNtHeader->OptionalHeader.DataDirectory.VirtualAddress != 0 // ? iExpandVsize : 0; [/I]//} [/I]//修改第SectionID个节表的参数(Vsize 和 RSize) [/I]//修改第SectionID后的节表. [/I]for int 0 0 ; [I]//这个不确定是RVA还是Roffset 估摸着是RVA吧 [/I]0 0 ; [I]//Offset [/I]0 0 ; [I]//不确定 , 猜 RVA [/I]0 0 ; [I]//RVA [/I]//Copy各个节 [/I]for int 0 ; i < pNewNtHeader->FileHeader.NumberOfSections; i++)//EAT [/I]if 0 ;0 ;0 ;0 ;0 ;for int 0 ; i < pNewExportDirectory->NumberOfNames; i++)//__asm int 3; [/I]0 ;//printf( "\r\nExportAPI \r\nName :%s \r\nRVA %X\r\n", pNames[i] + pNewImageBase, pNames); for int 0 ; i < pNewExportDirectory->NumberOfFunctions; i++)0 ;//printf( "\r\nExprtAPI RVA: %X\r\niTheBreakRVA:%08X\r\n", pFuntions, iTheBreakRVA ); //Import Table [/I]if 0 ;while 0 ;0 ;0 ;//printf( "Import Dll Name : %s\r\n", pNewImageBase + pNewImpDesciptor->Name); [/I]while 0 ;//printf( "\r\nImportAPI Name : %s", pNewImageBase + pOriginalThunk->u1.AddressOfData + 2); [/I]//这个应该不要填充~ 这里由系统填充的 [/I]//PIMAGE_THUNK_DATA pThunk = (PIMAGE_THUNK_DATA)(pNewImageBase + pNewImpDesciptor->FirstThunk); [/I]//while ( pThunk->u1.Function) [/I]//{ [/I]// __asm int 3; [/I]// pThunk->u1.Function += pThunk->u1.Function >= iTheBreakRVA [/I]// ? iTheBreakRVA : 0; [/I]// pThunk++; [/I]//} [/I]//资源 [/I]if 0 ;//IMAGE_DIRECTORY_ENTRY_SECURITY 异常表?不处理吧.貌似... [/I]//IMAGE_DIRECTORY_ENTRY_SECURITY.貌似是绑定证书 事实上改了也没用 0 0 [/I]0 ;//调试目录 [/I]if 0 ;int sizeof while 0 ;0 ;//IMAGE_DIRECTORY_ENTRY_ARCHITECTURE //不晓得 [/I]//IMAGE_DIRECTORY_ENTRY_GLOBALPTR 全局指针 [/I]0 ;//IMAGE_DIRECTORY_ENTRY_TLS tls table [/I]//就这样吧~没有看到适合测试这个的文件,貌似Delphi写的东西. [/I]// - -! DLL貌似没有TLS? 哦 是LoadLibrary 跟 __declspec(thread)不和谐 [/I]//反正懒得管了 [/I]if 0 ;0 ;0 ;0 ;0 ;// - -! 突然来个什么Va. [/I]for int 0 ; pCallBacks[i]; i++)0 ; [I]//这里应该也是VA吧~不过懒得管他了 [/I]//VAVAVA~~~~~~ [/I]for int 0 ; pAddressIndexs[i]; i++)0 ; [I]//这里应该也是VA吧~不过懒得管他了 [/I]//IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG //这个结构里面没有地址. [/I]0 ;//IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT //这个东西还算好搞吧 [/I]if 0 ;//PIMAGE_BOUND_IMPORT_DESCRIPTOR [/I]//这个里面的地址都是相对pNewNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT].VirtualAddress的地址,所以..高级编译器编译的不用管 [/I]//IMAGE_DIRECTORY_ENTRY_IAT [/I]0 ;//IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT [/I]//反正我不懂这个结构. [/I]// - -! 前面有勉强算是懂点 这个是真的... [/I]//别来句 "这个可以懂." :) [/I]// [/I]//这个结构..我眼神不好.竟然在头文件没找到 - -~ [/I]/* [/I] ->Delay Import Directory [/I] 1. DelayImportDescriptor: [/I] grAttrs: 0x00000001 (dlattrRva) [/I] DLLName (R)VA: 0x00066160 ("MSIMG32.dll") [/I] Hmod (R)VA: 0x00069CE0 [/I] IAT (R)VA: 0x00069000 [/I] INT (R)VA: 0x0006618C [/I] BoundIAT (R)VA: 0x00000000 [/I] UnloadIAT (R)VA: 0x00000000 [/I] TimeDateStamp: 0x00000000 (GMT: Thu Jan 01 00:00:00 1970) [/I] */ [/I]typedef struct if 0 ;int int sizeof while 0 ;0 ;0 ; [I]//!! [/I]0 ;0 ;0 ;//COM [/I]//IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR [/I]// [/I]if 0 ;//日了..不支持COM了 ! [/I]// - -! 终于完了~~ [/I]// 我晕..我真是白痴..还有重定位.. [/I]if //如果没有重定位表,就无法修正代码里的绝对引用 - -~ [/I]goto //IMAGE_DIRECTORY_ENTRY_BASERELOC [/I]0 ;int sizeof while typedef struct 12 ;4 ;if sizeof for int 0 ; i < pBaseRelocal->SizeOfBlock / sizeof 0 ;return true //释放内存啥的 - -~ [/I]return false
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
