首页  编辑  

exeLock技术完全分析

Tags: /超级猛料/Stream.File.流、文件和目录/文件操作/   Date Created:

exeLock 技术完全分析  

真辛苦啊!这是我想说的第一句话。

   有时痛苦得都不想做下去了,但我始终相信我可以做出来,就坚持下来了。要命的是,我的键盘和鼠标都不太灵活了,更要命的是,我连买一只新鼠标的钱都拿不出来!

   一开始想做这个程序的时候,发现从理论上来讲真的是非常的简单,设有一个程序名叫dosomething,我们的检查密码的程序叫checkpassword,那么,我们把checkpassword加入到dosomething的前面,在某人想运行dosomething的时候,好了,checkpassword跳了出来,某人输入正确的密码,就让他dosomething,反之亦然。

   简单吧,但只是看起来是这样!

   我们把这个dosomething.exe用记事本什么的打开,看到的只是一堆乱码,完全没有设想中的begin,end之类的东西,呵呵,连程序从那里开始都不知道,更不用说什么加入自己的代码了。:)    

   要了解EXE的文件结构,就要知道PE(Portable Executable File Format)是什么东东,下面是相关的几篇文章,推荐先看一下:)

   Matt Pietrek大哥写的Peering Inside the PE: A Tour of the Win32 Portable Executable File Format,他可是我的偶像之一哦。

   候捷先生翻译的中文版!嗯,我就知道你要这个。我的另一个偶像:)

   MSDN里的Microsoft Portable Executable and Common Object File Format Specification,官方资料。

   如果你E文不好的话,就看候捷先生那篇就可以看通本文了。

   如果你看不懂以上文档的话,嗯……我帮不了你了,哈哈,说笑了:)

   

   想把一个程序嵌到另一个程序运行可以分为三个步骤:

   1 修改PE文件头信息

   2 增加一个段表信息(Section Table)

   3 写入壳文件

       

   下面是我对这三个步骤的详细说明。

   1 修改PE文件头信息

       .1 段数加一(NumberOfSections)

           我们加了一个Section,这个数当然要加一了。

       

       .2 修改程序入口(AddressOfEntryPoint)

           这个就有不用说了吧!呵呵,把这个地址指到壳文件的入口就行了,注意的是要加上ImageBase 。

       

       .3 增加代码大小(SizeOfCode)

           是原来的大小加上壳文件的大小(壳的头部除外)。

       

       .4 增加内存映像大小(SizeOfImage)

           也是原来的大小加上壳文件的大小(壳的头部除外)。

           

       .5 修改引入表(Import Table)入口(DataDirectory[1].VirtualAddress)

           这个比较重要,请仔细看了。

           我们知道,一般的windows的程序都有API的调用,这个Import Table里放的就是程序要调用的DLL的名称和各个函数的名称或序号。由于我们的外壳程序也要用到API的调用,所以我们必须把入口修改为外壳程序的Import Table的入口。一开始的时候,我本来想不修改这个入口的,但为了清除外壳程序时的方便,所以只有修改原Import Table的入口了,但这又引起了另一个麻烦,就是我们必需人工装入原程序的输入部分。也就是说,原来的程序要引用的DLL现在要外壳程序加载上去了,嗯……真是有得必有失啊。因为Import Table是装入器,也就是运行程序时把程序装入系统并运行的那个家伙,自动加载上去的,修改了原程序的入口之后,装入器就加载了壳程序的Import Table,而原程序的Import Table它就不管了(它不知道啊,怎么管?)。所以只有壳程序把这个粗活接下来了。

           

       .6 修改引入表(Import Table)大小(DataDirectory[1].Size)

           这个改为壳程序的引入表大小就可以了。

           

   2 增加一个段表信息(Section Table)

       .1 在最后一个段表信息之后增加一个段表信息".BOYU"

           没有这个段表信息的话,系统才不管你加了什么东西进去呢。

       

   3 写入壳文件

       .1 把壳程序的exe文件中的涉及到地址部分相应地加上原程序的基址(ImageBase),

           一般来说是调用DLL,还有全局变量的时候要用到。

       .2 保存原程序的ImageBase,AddressOfEntryPoint,Import Table入口(DataDirectory[1].VirtualAddress)在壳程序的.data 里的相应的变量偏移地址,以供壳程序使用。

       .3 把壳程序的exe文件的三个段.code、 .rdata 、.data写入原exe文件的尾部,要注意段对齐(Section Align)

           这三个段合并为一个,写到段表信息量".BOYU"的PointerToRawData所指的地方,因为要注意Section Align 所以前面可能要加上补足的部分。