exeLock技术完全分析

类别:VC语言 点击:0 评论:0 推荐:

 

    真辛苦啊!这是我想说的第一句话。
    有时痛苦得都不想做下去了,但我始终相信我可以做出来,就坚持下来了。要命的是,我的键盘和鼠标都不太灵活了,更要命的是,我连买一只新鼠标的钱都拿不出来!
    一开始想做这个程序的时候,发现从理论上来讲真的是非常的简单,设有一个程序名叫dosomething,我们的检查密码的程序叫checkpassword,那么,我们把checkpassword加入到dosomething的前面,在某人想运行dosomething的时候,好了,checkpassword跳了出来,某人输入正确的密码,就让他dosomething,反之亦然。
    简单吧,但只是看起来是这样!
    我们把这个dosomething.exe用记事本什么的打开,看到的只是一堆乱码,完全没有设想中的begin,end之类的东西,呵呵,连程序从那里开始都不知道,更不用说什么加入自己的代码了。:)    
    要了解EXE的文件结构,就要知道PE(Portable Executable File Format)是什么东东,下面是相关的几篇文章,推荐先看一下:)
    Matt Pietrek大哥写的Peering Inside the PE: A Tour of the Win32 Portable Executable File Format,他可是我的偶像之一哦。
    候捷先生翻译的中文版!嗯,我就知道你要这个。我的另一个偶像:)
    MSDN里的Microsoft Portable Executable and Common Object File Format Specification,官方资料。
    如果你E文不好的话,就看候捷先生那篇就可以看通本文了。
    如果你看不懂以上文档的话,嗯……我帮不了你了,哈哈,说笑了:)
    
    想把一个程序嵌到另一个程序运行可以分为三个步骤:
    1 修改PE文件头信息
    2 增加一个段表信息(Section Table)
    3 写入壳文件
        
    下面是我对这三个步骤的详细说明。
    1 修改PE文件头信息
        .1 段数加一(NumberOfSections)
            我们加了一个Section,这个数当然要加一了。
        
        .2 修改程序入口(AddressOfEntryPoint)
            这个就有不用说了吧!呵呵,把这个地址指到壳文件的入口就行了,注意的是要加上ImageBase 。
        
        .3 增加代码大小(SizeOfCode)
            是原来的大小加上壳文件的大小(壳的头部除外)。
        
        .4 增加内存映像大小(SizeOfImage)
            也是原来的大小加上壳文件的大小(壳的头部除外)。
            
        .5 修改引入表(Import Table)入口(DataDirectory[1].VirtualAddress)
            这个比较重要,请仔细看了。
            我们知道,一般的windows的程序都有API的调用,这个Import Table里放的就是程序要调用的DLL的名称和各个函数的名称或序号。由于我们的外壳程序也要用到API的调用,所以我们必须把入口修改为外壳程序的Import Table的入口。一开始的时候,我本来想不修改这个入口的,但为了清除外壳程序时的方便,所以只有修改原Import Table的入口了,但这又引起了另一个麻烦,就是我们必需人工装入原程序的输入部分。也就是说,原来的程序要引用的DLL现在要外壳程序加载上去了,嗯……真是有得必有失啊。因为Import Table是装入器,也就是运行程序时把程序装入系统并运行的那个家伙,自动加载上去的,修改了原程序的入口之后,装入器就加载了壳程序的Import Table,而原程序的Import Table它就不管了(它不知道啊,怎么管?)。所以只有壳程序把这个粗活接下来了。
            
        .6 修改引入表(Import Table)大小(DataDirectory[1].Size)
            这个改为壳程序的引入表大小就可以了。
            
    2 增加一个段表信息(Section Table)
        .1 在最后一个段表信息之后增加一个段表信息".BOYU"
            没有这个段表信息的话,系统才不管你加了什么东西进去呢。
        
    3 写入壳文件
        .1 把壳程序的exe文件中的涉及到地址部分相应地加上原程序的基址(ImageBase),
            一般来说是调用DLL,还有全局变量的时候要用到。
        .2 保存原程序的ImageBase,AddressOfEntryPoint,Import Table入口(DataDirectory[1].VirtualAddress)在壳程序的.data 里的相应的变量偏移地址,以供壳程序使用。
        .3 把壳程序的exe文件的三个段.code、 .rdata 、.data写入原exe文件的尾部,要注意段对齐(Section Align)
            这三个段合并为一个,写到段表信息量".BOYU"的PointerToRawData所指的地方,因为要注意Section Align 所以前面可能要加上补足的部分。 
 
更多内容,请访问VC天堂网
http://www.vcheaven.net

本文地址:http://com.8s8s.com/it/it2883.htm