说一个简单的方案
重建 DOS Stub( 换一个小/标准的 Stub ), 可以减少一定体积
计算 SizeOfHeaders = Dos Stub Size(PE 前面都算) + PE Header Size(0F8h)
+ Section Table Size(28h*NumberOfSections)
NumberOfSections可以根据需要+1预留出壳段
修正 SizeOfHeaders, 按 FileAlignment 对齐算作第一个段的Offset
有效化PE, 按 SectionAlignment 对齐 RVA & VSize
按 FileAlignment 对齐 Offset & RSize
读取最后一个段 Offset + RSize 处到文件尾的数据, 视为附加数据(Overlays)
(可能没有Overlays)
根据上述信息组合一个文件:
DOS Stub + PE Header + Section Table + Sections + [先不要加Overlays, 还要加段]
把重要的信息如ImportTableRva, RelocRva, ...保存起来
把不能压缩的东西如Resource(重建目录,修改一部分指针到复制出来的资源上), Exports(复制就行,记得把里面的Addresses地址修正), Tls(复制, 18h字节)写入文件尾(作为新段开头)
合成外壳用的输入表, 为了兼容win2k之类无imports不能载入者,可以只有一个引入函数ExitProcess,也可以用GetModuleHandleA,GetProcAddress,取地址的最好还是自己写
把外壳加密,用变形引擎或者SMC一下.
加密原来所有的段,把外壳代码写到新段去.
修改入口点指向外壳入口.修改Exports,Rsrc,Imports入口
最后把你的Overlays写上.
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
