PE嵌入模板

? ? 編寫一段代碼，生成一個已經處理過重定位信息，同時所有的內容都在代碼段里，并且沒有導入表的PE程序，把這個程序嵌入到其他PE的相關位置，能夠獨立的運行，接下來是整理了2個模板，一個是HelloWorld的，另一個是通用模板LoadLibrary的模板。

? ? 開發環境masm32和vs2012,相關環境搭建我之前整理過[?http://blog.csdn.net/u013761036/article/details/52186683?];

直接C++的話貌似不行，我用vs2015本地創建了一個空的項目，默認優化全開：

還是會有kernel32.dll。

?

接下來是模板1，功能是所有的東西都在一個獨立的模塊，彈出對話框，同時處理了全局變量的重定位問題。模板如下[代碼是仿照Windows?PE?權威指南，但是有些地方已經改過了，書上代碼在我本地跑有問題，再獲取Kernel32.dll地址的時候并不能成功得到地址。那個函數我已經重寫了]：

;---------------------------------------- ;補丁代碼 ;本段代碼使用了API函數地址動態獲取以及重定位技術 ;程序功能:彈出對話框 ;作者:Thinker ;開發日期:2017.4.30 ;開發測試環境:vs2012+masm32、Win7 X64 ;----------------------------------------.386 .model flat,stdcall option casemap:noneinclude windows.inc;注意，此處不靜態包含引入任何其他動態鏈接庫，包括Kernell32.dll_ProtoGetProcAddress typedef proto :dword,:dword _ProtoLoadLibrary typedef proto :dword _ApiGetProcAddress typedef ptr _ProtoGetProcAddress _ApiLoadLibrary typedef ptr _ProtoLoadLibrary;---------------------------------------- ;補丁代碼中引入的其他動態鏈接庫函數的聲明 ;----------------------------------------_ProtoMessageBox typedef proto :dword,:dword,:dword,:dword _ApiMessageBox typedef ptr _ProtoMessageBox;被添加到目標文件的代碼從這里開始，到APPEND_CODE_END處結束 .code jmp _NewEntry;以下內容為兩個重要函數名 ;幾乎所有補丁都必須使用 szGetProcAddr db 'GetProcAddress',0 szLoadLib db 'LoadLibraryA',0;---------------------------------------- ;補丁代碼中其他全局變量的定義 ;----------------------------------------szUser32Dll db 'user32.dll',0 szMessageBox db 'MessageBoxA',0 szHello db 'HelloWorldPE',0 ;---------------------------------------- ;獲取kernel32.dll 的基地址 ;----------------------------------------_getKernelBase proc;下面是Windows PE權威指南上的代碼，獲取Kernel32.dll地址失敗，無奈我用自己之前的C++代碼改了下，測試幾次發現可以;local @dwRet ;pushad ;assume fs:nothing ;mov eax,fs:[30h] ;PEB ;mov eax,[eax+0ch] ;PEB_LDE_DATA ;mov esi,[eax+1ch] ;InInitializationOrderModuleList ;lodsd ;mov eax,[eax+8] ;Kernel32.dll的基地址 ;mov @dwRet ,eax ;popad ;mov eax,@dwRet ;ret;之前寫的C++代碼改的[http://blog.csdn.net/u013761036/article/details/71006302]local @dwRet pushad assume fs:nothing mov ebx, fs:[30h] ;得到peb結構體的地址 mov ebx, [ebx + 0ch] ;得到Ldr結構體的地址 mov ebx, [ebx + 0ch] ;得到ldr.InLoadOrderModuleList.Flink 第一個模塊，當前進程 mov ebx, [ebx] ;得到第二個模塊地址 ntdll.dll mov ebx, [ebx] ;得到第三個模塊地址 kernel32.dll mov ebx, [ebx + 18h] ;得到第三個模塊地址（kernel32模塊的dllbase) mov @dwRet, ebx popad mov eax,@dwRet ret _getKernelBase endp;---------------------------------------- ;獲取制定字符串的API函數的調用地址 ;入口參數:_hModule 為動態鏈接庫的基地址 ; _lpApi為API函數名稱首指 ;出口參數:eax 位函數在虛擬地址空間中的真實地址 ;---------------------------------------- _getApi proc _hModule,_lpApi local @ret local @dwLen pushad mov @ret,0 ;計算API字符串的長度，含最后的0 mov edi,_lpApi mov ecx,-1 xor al,al cld repnz scasb mov ecx,edi sub ecx,_lpApi mov @dwLen,ecx;從PE文件頭的數據目錄獲取導出表地址 mov esi,_hModule add esi,[esi+3ch] assume esi:ptr IMAGE_NT_HEADERS mov esi,[esi].OptionalHeader.DataDirectory.VirtualAddress add esi,_hModule assume esi:ptr IMAGE_EXPORT_DIRECTORY;查找符合名稱的導出函數名 mov ebx,[esi].AddressOfNames add ebx,_hModule xor edx,edx .repeat push esi mov edi,[ebx] add edi,_hModule mov esi,_lpApi mov ecx,@dwLen repz cmpsb .if ZERO? pop esi jmp @F .endif pop esi add ebx,4 inc edx .until edx >= [esi].NumberOfNames jmp _ret @@:;通過API名稱索引獲取序號索引，再獲取地址索引 sub ebx,[esi].AddressOfNames sub ebx,_hModule shr ebx,1 add ebx,[esi].AddressOfNameOrdinals add ebx,_hModule movzx eax,word ptr [ebx] shl eax,2 add eax,[esi].AddressOfFunctions add eax,_hModule;從地址表得到導出函數地址 mov eax,[eax] add eax,_hModule mov @ret,eax_ret:assume esi:nothing popad mov eax,@ret ret _getApi endp;---------------------------------------- ;補丁功能部分 ;傳入3個參數 ; _kernel :kernel32.dll的基地址 ; _getAddr:函數GetProcAddress地址 ; _LoadLib:函數LoadLibraryA地址 ;---------------------------------------- _patchFun proc _kernel,_getAddr,_loadLib;---------------------------------------- ;補丁代碼局部變量定義 ;----------------------------------------local hUser32Base:dword local _messageBox:_ApiMessageBoxpushad;---------------------------------------- ;補丁功能代碼，下面例子彈出對話框 ;---------------------------------------- ;獲取user32.dll的基地址 mov eax,offset szUser32Dll add eax,ebxmov edx,_loadLib push eax call edx mov hUser32Base,eax;使用GetProcAddress函數的首地址 ;傳入兩個參數調用GetProcAddress函數 ;獲得MessageBoxA的首地址 mov eax,offset szMessageBox add eax,ebxmov edx,_getAddr mov ecx,hUser32Base push eax push ecx call edx mov _messageBox,eax;調用函數MessageBox mov eax,offset szHello add eax,ebx mov edx,_messageBoxpush MB_OK push NULL push eax push NULL call edxpopad ret_patchFun endp_start proclocal hKernel32Base:dword ;存放kernel32.dll基地址local _getProcAddress:_ApiGetProcAddress local _loadLibrary :_ApiLoadLibrary pushad ;獲取kernel32.dll的基地址 lea edx,_getKernelBase add eax,ebx call edx mov hKernel32Base,eax;從基地址出發搜索GetProcAddress函數的首地址 mov eax,offset szGetProcAddr add eax,ebxmov edi,hKernel32Base mov ecx,edi lea edx,_getApi add edx,ebxpush eax push ecx call edx mov _getProcAddress,eax;從基地址出發搜索LoadLibraryA函數的首地址 mov eax,offset szLoadLib add eax,ebxmov edi,hKernel32Base mov ecx,edi lea edx,_getApi add edx,ebxpush eax push ecx call edx mov _loadLibrary,eax;調用補丁代碼 lea edx,_patchFun add edx,ebxpush _loadLibrary push _getProcAddress push hKernel32Base call edxpopad ret _start endp;EXE文件新的入口地址_NewEntry: call @F ;免去重定位 @@:pop ebx sub ebx,offset @Binvoke _startjmpToStart db 0E9h,0F0h,0FFh,0FFh,0FFh ret end _NewEntry

? ? 最后的黑體是跳轉用的。如果單獨跑這個地方可以去掉，不然一條轉都崩潰了，通常留著是為了嵌入到別的程序里之后，執行完之后跳轉到原來程序入口地址等。

模板1的執行結果如下：

并沒有導入表，同時相關字符串也沒有存在數據段里：

代碼段部分就是全部了，可以拷貝來獨立的用。

模板2：和1類似，就是做了一個loadlibrary的模板，這樣就和其他注入姿勢一樣了，只是加載一個dll，然后所有的東西在dll里面寫就行了。Dllmain函數被調用的時候記得觸發下自己就OK了。模板代碼如下[一樣書上的獲取kernel32.dll代碼無效，此處已經修正]。

;---------------------------------------- ;補丁代碼 ;本段代碼使用了API函數地址動態獲取以及重定位技術 ;程序功能:loadlibrary實現通用補丁代碼 ;作者:Thinker ;開發日期:2017.4.30 ;開發測試環境:vs2012+masm32、Win7 X64 ;----------------------------------------.386 .model flat,stdcall option casemap:noneinclude windows.inc_ProtoLoadLibrary typedef proto :dword _ApiLoadLibrary typedef ptr _ProtoLoadLibrary;被添加到目標文件的代碼從這里開始，到APPEND_CODE_END處結束 .code jmp _NewEntryszLoadLib db 'LoadLibraryA',0 szDllName db 'I.dll',0;---------------------------------------- ;獲取kernel32.dll 的基地址 ;---------------------------------------- _getKernelBase proclocal @dwRet pushad assume fs:nothing mov ebx, fs:[30h] ;得到peb結構體的地址 mov ebx, [ebx + 0ch] ;得到Ldr結構體的地址 mov ebx, [ebx + 0ch] ;得到ldr.InLoadOrderModuleList.Flink 第一個模塊，當前進程 mov ebx, [ebx] ;得到第二個模塊地址 ntdll.dll mov ebx, [ebx] ;得到第三個模塊地址 kernel32.dll mov ebx, [ebx + 18h] ;得到第三個模塊地址（kernel32模塊的dllbase) mov @dwRet, ebx popad mov eax,@dwRet ret _getKernelBase endp;---------------------------------------- ;獲取制定字符串的API函數的調用地址 ;入口參數:_hModule 為動態鏈接庫的基地址 ; _lpApi為API函數名稱首指 ;出口參數:eax 位函數在虛擬地址空間中的真實地址 ;---------------------------------------- _getApi proc _hModule,_lpApi local @ret local @dwLen pushad mov @ret,0 ;計算API字符串的長度，含最后的0 mov edi,_lpApi mov ecx,-1 xor al,al cld repnz scasb mov ecx,edi sub ecx,_lpApi mov @dwLen,ecx;從PE文件頭的數據目錄獲取導出表地址 mov esi,_hModule add esi,[esi+3ch] assume esi:ptr IMAGE_NT_HEADERS mov esi,[esi].OptionalHeader.DataDirectory.VirtualAddress add esi,_hModule assume esi:ptr IMAGE_EXPORT_DIRECTORY;查找符合名稱的導出函數名 mov ebx,[esi].AddressOfNames add ebx,_hModule xor edx,edx .repeat push esi mov edi,[ebx] add edi,_hModule mov esi,_lpApi mov ecx,@dwLen repz cmpsb .if ZERO? pop esi jmp @F .endif pop esi add ebx,4 inc edx .until edx >= [esi].NumberOfNames jmp _ret @@:;通過API名稱索引獲取序號索引，再獲取地址索引 sub ebx,[esi].AddressOfNames sub ebx,_hModule shr ebx,1 add ebx,[esi].AddressOfNameOrdinals add ebx,_hModule movzx eax,word ptr [ebx] shl eax,2 add eax,[esi].AddressOfFunctions add eax,_hModule;從地址表得到導出函數地址 mov eax,[eax] add eax,_hModule mov @ret,eax_ret:assume esi:nothing popad mov eax,@ret ret _getApi endp_start proclocal hKernel32Base:dword ;存放kernel32.dll基地址 local _loadLibrary :_ApiLoadLibrary pushad ;獲取kernel32.dll的基地址 lea edx,_getKernelBase add eax,ebx call edx mov hKernel32Base,eax;從基地址出發搜索LoadLibraryA函數的首地址 mov eax,offset szLoadLib add eax,ebxmov edi,hKernel32Base mov ecx,edi lea edx,_getApi add edx,ebxpush eax push ecx call edx mov _loadLibrary,eax;調用補丁代碼mov eax,offset szDllName push eax call _loadLibrarypopad ret _start endp;EXE文件新的入口地址_NewEntry: call @F ;免去重定位 @@:pop ebx sub ebx,offset @Binvoke _start;jmpToStart db 0E9h,0F0h,0FFh,0FFh,0FFh ret end _NewEntry

運行結果：

????代碼段大小0x109,學習資料上的是優化到0x80,然而我照著寫完MD各種運行不了，而且他里面定義了一堆變量最后根本沒用上。獲取Kernel32.dll部分的代碼也是錯的。FK浪費我太多時間調那個匯編代碼，后來直接自己改了一個。上面的那個沒有采取優化的姿勢，需要用的，如果感覺大的話可以進行下匯編代碼調整，優化下體積。

????以后的PE嵌入通常用的也是這個通用的模板，因為只要通常Loadlibrary就OK了。當然如果想做反彈或者別的，對應的用這個姿勢改就行了。目標就是不要有導入表，記得處理重定位，函數用到的數據記得是在代碼段，不是放在數據段里面。

總結

以上是生活随笔為你收集整理的Windows PE变形练手2-开发一套自己的PE嵌入模板的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。