向PE文件中添加一个Section

背景

以前说过直接向类HelloWorld.exe的可执行文件添加一个MessageBox弹窗, 但有时候, 须要添加的内容太多了, 由于数据与代码一块儿插入, 以致于可执行文件自己没有足够的空闲空间存放这些内容时, 就须要添加一个Section.

 

确认节区头后面还有空间

用工具查看一下最后一个节区头后面是否还有多余的空间, 通常状况都会有的. 但若没有的话, 就要移动节区头后面的文件内容, 这个比较复杂, 在这里不说.

通常会结合PE View 和 WinHex 这两个工具, 如以前的HelloWorld.exe

先用PE View 查看最后一个节区头的起始地址: 00000218   能够推算出最后一个节区头的结束地址:　0000023F 

框选的部分就是最后一个节区头的内容

 

能够看到红框中的部分, 有足够的空间去添加一个节区头信息. 由于这个须要确保添加一个节区头后, 后面还有一个节区头的空间, 而且其值全为0

 

覆写一个节区头信息

接下来就是添加一个节区头信息, 个人作法是复制一下可执行文件原有的最后一个节区头的内容, 再覆写到其后面.  在WinHex中框选内容后, 右键 -> Edit 

Cope Block  -> Normally  ( 框选后直接Ctrl + C 也行 )

 

 

覆写操做: 点选要覆写的起始地址, 在这里是 00000240  同样先是 右键 -> Edit , 再就是 Clipboard Data Write ( 也能够直接ctrl + b )

 

但这里千万不要点了Paste (Ctrl + V ) , 由于那个是向文件里插入以前复制的内容, 这样的话, 后面的内容就会向后偏移了, 最后致使文件头信息中的文件偏移参数不对了.

 

 

到这里, 先保存一下!

 

修改Number Of Sections的值

完成上面的工做, 用PE View查看的时候, 仍是不会看到新添的这个节区头的信息的.

因此须要去修改一下Number Of Sections 的值, 其实就是对其值加1

 

仍是要用PE View查到Number Of Sections 的文件偏移 ( 000000D6 )

 

再用WinHex去到 000000D6 看一下(至于为何不是 0003 而是0300的问题, 去看基础知道 )

 

把其中的3直接加1 改成4就好.  保存 

 

这个时候再用PE View查看, 就会发现多了一个节区头信息了

 

重复的.data节区头, 我习惯改一下新节区头的名称

这时, 会发现节区也多了一个, 但点开节区, 会发现, .dx节区和.data节区实际上是一样的, 看文件偏移就知道

 

 

这个是由于.dx节区头的内容是从.data节区头复制过来的, 因此其中的文件偏移都是同样的. 这个后面再说

 

获取 File Alignment 和 Section Alignment的值

用PE View, 点开 PE可选头信息: 

 

 

 

Section Alignment 的值为    00001000

      File Alignment 的值为    00001000

上面的值都是十六进制的, 先记下来, 后面会用到的

 

在文件中为.dx节区头添加节区

这个时候是须要用到File Alignment的值了, 由于节区在文件中的空间大小必须是FileAlignment的整数倍, 为了方便, 在这里就弄一个FileAlignment的文件空间. 

由于在用WinHex添加节区的时候, 是以整数个字节添加的, 换算一下: 00001000(十六进制)  =  4096(十进制)

具体操做是把WinHex拉到最低部, 在文件最后的一个字节上 右键 -> Edit -> Paste Zero Bytes 

 

按提示走, 会看到下面这样的输入框, 输入须要插入的字节数据量, 记得是十进制的, 

这里是一个FileAlignment的大小, 也就是4096. 点 ok .

 

蓝色的字就是新添加的, 由于还没保存, 因此WinHex标记为蓝色的, 要记下蓝色的开头地址,这里是  0000A000, 由于这个值就是新节区.dx的文件偏移, 下一步是须要设置到.dx节区头信息中Pointer to Raw Data上的.

 

记得保存.

 

设置新节区头的Size of Raw Data和Pointer to Raw Data

仍是先用PE View看一下这两个属性的文件偏移量:

偏移量分别为:  00000250 和 00000254. 再用WinHex找到这两个地址:

 

把Size of Raw Data的值改成 00001000, 其实就是把其实的3改成1就能够了.

Pointer to Raw Data的值改成0000A000, 前面一步已经记下来的. 其实就是把7改成A

 

再保存. 并用PE View查看一下: 

这样就和前面看到的不同了, 也证实修改为功了!

 

设置新节区的RVA

首先要查看两个参数, 分别是前一个节区头的 Virtual Size 和 RVA 的值:

Virtual Size : 00003E08

           RVA :  00007000

这两个值相加一下, 得 0000AE08  , 那么新节区的RVA都是须要大于这个值的, 为了方便操做, 通常都取整, 设置为:0000B000 

再查看一下新节区头的RVA在文件中的偏移量: 

找到文件中的0000024C, 修改上面的值为 0000B000, 再保存:

 

设置新节区的Virtual Size

Virtual Size 指定的是对应节区加载到内存后, 所占用的内存空间大小, 但它的值是Section Alignment的整数倍. 在这例程里, Section Alignment是00001000,  并且也应该不须要更多的内存空间了, 因此直接设置Virtaul Size为00001000就好:

先用PE View 找位置, 熟悉了后应该就不用了:

Virtual Size的文件偏移量是 00000248

 

找到并直接修改保存. 就行了!

 

 

修改Size of Image的值

这个参数是在IMAGE_OPTIONAL_HEADER中的, 它的做用是指定全部节区加载内存后, 一共须要多少内存空间大小. 修改起来问题不大, 就是找到指定的地址, 00000120

 

并在原有的值上加新节区头中的Virtual Size(00001000), 也就是把B改成C, 再保存

 

到这里, 把程序运行起来, 不报错, 基本上都证实是操做正确了!! 

 

修改新节区的属性(权限)

上面的操做是成功添加了一个节区, 还没上, 咱们是须要向里面插入可执行代码和数据的. 但节区头信息里有一个参数会限定这个节区所能作的事, 下面看看这个参数: 

其中 IMAGE_SCN_CNT_INITIALIZED_DATA 说的是这个节区包含了初始化数据

剩下的  IMAGE_SCN_MEM_READ 和  IMAGE_SCN_MEM_WRITE 就是说程序能够对这个节区进行读与写操做.

但这样的话, 若是是插入了代码, 没有执行权限是不行的哦!

 

若是不知道怎么设置, 其实咱们能够参考一下.text节区头中的  Characteristics :

 

  其实  IMAGE_SCN_CNT_CODE 说的是这个节区包含了可执行代码, 而后  IMAGE_SCN_MEM_EXECUTE 给了这个节区执行的权限. 

只要在新节区头中 Characteristics 的值按位与运算就好了, (其实直接加20000020就好了, 但这个说法不够严谨)

 

新节区  Characteristics 的文件地址为 00000264 

再保存: 

 

 

具体怎么插入代码, 那是另外的工做, 在这里不说. 

 

复制来自http://www.cnblogs.com/findumars/p/5788894.html