PE之新增节(3)

源码GitHub：https://github.com/TL-SN/_TLSN_RES.PE

一、第一种新增节的方法：SizeOfHeader与真实的Header大小有所出入，SizeOfHeader是对齐了的Header，我们利用真实的Header对齐后的Header的中间字节进行新增节操作

部分关键代码：(考虑篇幅，这里只贴了部分代码，完整的代码都在GitHub上 ,或者查看这个链接 : https://www.cnblogs.com/lordtianqiyi/articles/15782773.html)

VOID _PE_User::RelAddSectionHearedDosToNt(LPVOID *pImageBuffer,size_t expand,size_t SelKind)
{
    LPVOID pTempImageBuffer;
    PE_S PeTmp_s;
    DWORD space_sec_data;
    DWORD RelSizeOfHeader;    //不包含垃圾数据，对齐//

    if(!SelKind)
    {
        pTempImageBuffer = malloc(lenFile + expand);
        memset(pTempImageBuffer,lenFile + expand,0);
        memcpy(pTempImageBuffer,*pImageBuffer,lenFile);    
    }
    else
    {
        pTempImageBuffer = malloc(pOptHeaderSizeOfImage + expand);
        memset(pTempImageBuffer,pOptHeaderSizeOfImage + expand,0);
        memcpy(pTempImageBuffer,*pImageBuffer,pOptHeaderSizeOfImage);
    }


    conBuffToAddr(PeTmp_s,pTempImageBuffer);

    //移动数据，创造节表空间//
    space_sec_data =  PeTmp_s.pOptionHeader->SizeOfHeaders - sizeof(IMAGE_SECTION_HEADER) * PeTmp_s.pPEHeader->NumberOfSections - sizeof(IMAGE_NT_HEADERS32) - PeTmp_s.pDosHeader->e_lfanew;
    RelSizeOfHeader = sizeof(IMAGE_SECTION_HEADER) * PeTmp_s.pPEHeader->NumberOfSections + sizeof(IMAGE_NT_HEADERS32) + sizeof(IMAGE_DOS_HEADER);

    memcpy((void*)((DWORD)pTempImageBuffer + sizeof(IMAGE_DOS_HEADER)),(void*)((DWORD)pTempImageBuffer+PeTmp_s.pDosHeader->e_lfanew), PeTmp_s.pOptionHeader->SizeOfHeaders - space_sec_data - PeTmp_s.pDosHeader->e_lfanew);
    
    PeTmp_s.pDosHeader->e_lfanew = sizeof(IMAGE_DOS_HEADER);
    conBuffToAddr(PeTmp_s,pTempImageBuffer);//前面的数据都偏移了，这里一定要修复一下//
    
    memset((void*)((DWORD)pTempImageBuffer + RelSizeOfHeader ),0,PeTmp_s.pOptionHeader->SizeOfHeaders - RelSizeOfHeader); //我想了一下，这个新增节的方法为了增加这个节，压缩了垃圾缓冲区，但同时也可使用节表与SizeOfHeader直接的距离,所以，这种方法不如说是上一种方法的加强版//
     
    //判断//
    if(PeTmp_s.pOptionHeader->SizeOfHeaders - RelSizeOfHeader < sizeof(IMAGE_SECTION_HEADER) * 2)
    {
        printf("压缩垃圾数据后，空间还是不够...\n");
        printf("按回车键退出\n");
        getchar();
        exit(0);
        free(pTempImageBuffer);
        free(*pImageBuffer);

        return ;
    }

    //移动数据后，在腾出的空间上复制出新的节表//
    memcpy((void*)((DWORD)pTempImageBuffer + RelSizeOfHeader ),(void*)((DWORD)pTempImageBuffer + RelSizeOfHeader - sizeof(IMAGE_SECTION_HEADER) ),sizeof(IMAGE_SECTION_HEADER));

    //改数据//
    PeTmp_s.pPEHeader->NumberOfSections +=1;

    for(int k=0;k<7;k++)
    {
        (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->Name[k]=0x74;
    }

    PeTmp_s.pOptionHeader->SizeOfImage +=expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->Misc.VirtualSize = expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->VirtualAddress =  PeTmp_s.pOptionHeader->SizeOfImage - expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->SizeOfRawData = expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->PointerToRawData = (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 2)->SizeOfRawData + (PeTmp_s.pSectionHeader+PeTmp_s.pPEHeader->NumberOfSections - 2)->PointerToRawData;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->Characteristics=(PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 2)->Characteristics;
    
    
    *pImageBuffer = pTempImageBuffer;
    //更新一下 File_PE_s //
    conBuffToAddr(File_PE_s,pTempImageBuffer);
    

    
}

二、我用的是2007年版的飞鸽，能正常打开，没啥问题

 

 

 

 

 

 

 

 三、第二种新增节操作就是压缩nt头与dos头之间的垃圾数据，实现新增节

VOID _PE_User::RelAddSectionHearedDosToNt(LPVOID *pImageBuffer,size_t expand,size_t SelKind)
{
    LPVOID pTempImageBuffer;
    PE_S PeTmp_s;
    DWORD space_sec_data;
    DWORD RelSizeOfHeader;    //不包含垃圾数据，对齐//

    if(!SelKind)
    {
        pTempImageBuffer = malloc(lenFile + expand);
        memset(pTempImageBuffer,lenFile + expand,0);
        memcpy(pTempImageBuffer,*pImageBuffer,lenFile);    
    }
    else
    {
        pTempImageBuffer = malloc(pOptHeaderSizeOfImage + expand);
        memset(pTempImageBuffer,pOptHeaderSizeOfImage + expand,0);
        memcpy(pTempImageBuffer,*pImageBuffer,pOptHeaderSizeOfImage);
    }


    conBuffToAddr(PeTmp_s,pTempImageBuffer);

    //移动数据，创造节表空间//
    space_sec_data =  PeTmp_s.pOptionHeader->SizeOfHeaders - sizeof(IMAGE_SECTION_HEADER) * PeTmp_s.pPEHeader->NumberOfSections - sizeof(IMAGE_NT_HEADERS32) - PeTmp_s.pDosHeader->e_lfanew;
    RelSizeOfHeader = sizeof(IMAGE_SECTION_HEADER) * PeTmp_s.pPEHeader->NumberOfSections + sizeof(IMAGE_NT_HEADERS32) + sizeof(IMAGE_DOS_HEADER);

    memcpy((void*)((DWORD)pTempImageBuffer + sizeof(IMAGE_DOS_HEADER)),(void*)((DWORD)pTempImageBuffer+PeTmp_s.pDosHeader->e_lfanew), PeTmp_s.pOptionHeader->SizeOfHeaders - space_sec_data - PeTmp_s.pDosHeader->e_lfanew);
    
    PeTmp_s.pDosHeader->e_lfanew = sizeof(IMAGE_DOS_HEADER);
    conBuffToAddr(PeTmp_s,pTempImageBuffer);//前面的数据都偏移了，这里一定要修复一下//
    
    memset((void*)((DWORD)pTempImageBuffer + RelSizeOfHeader ),0,PeTmp_s.pOptionHeader->SizeOfHeaders - RelSizeOfHeader); //我想了一下，这个新增节的方法为了增加这个节，压缩了垃圾缓冲区，但同时也可使用节表与SizeOfHeader直接的距离,所以，这种方法不如说是上一种方法的加强版//
     
    //判断//
    if(PeTmp_s.pOptionHeader->SizeOfHeaders - RelSizeOfHeader < sizeof(IMAGE_SECTION_HEADER) * 2)
    {
        printf("压缩垃圾数据后，空间还是不够...\n");
        printf("按回车键退出\n");
        getchar();
        exit(0);
        free(pTempImageBuffer);
        free(*pImageBuffer);

        return ;
    }

    //移动数据后，在腾出的空间上复制出新的节表//
    memcpy((void*)((DWORD)pTempImageBuffer + RelSizeOfHeader ),(void*)((DWORD)pTempImageBuffer + RelSizeOfHeader - sizeof(IMAGE_SECTION_HEADER) ),sizeof(IMAGE_SECTION_HEADER));

    //改数据//
    PeTmp_s.pPEHeader->NumberOfSections +=1;

    for(int k=0;k<7;k++)
    {
        (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->Name[k]=0x74;
    }

    PeTmp_s.pOptionHeader->SizeOfImage +=expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->Misc.VirtualSize = expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->VirtualAddress =  PeTmp_s.pOptionHeader->SizeOfImage - expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->SizeOfRawData = expand;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->PointerToRawData = (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 2)->SizeOfRawData + (PeTmp_s.pSectionHeader+PeTmp_s.pPEHeader->NumberOfSections - 2)->PointerToRawData;
    (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->Characteristics=(PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 2)->Characteristics;
    
    
    *pImageBuffer = pTempImageBuffer;
    //更新一下 File_PE_s //
    conBuffToAddr(File_PE_s,pTempImageBuffer);
    

    
}

四、

 

 

 

 

 可以看到新增后的飞鸽e_lfanew直接指向nt头的位置

 


__EOF__

本文作者：_TLSN
本文链接：https://www.cnblogs.com/lordtianqiyi/articles/15782422.html
关于博主：评论和私信会在第一时间回复。或者直接私信我。
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！
声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是博主的最大动力！
posted @   TLSN  阅读(40)  评论(0)  编辑  收藏  举报
编辑推荐：
· AI与.NET技术实操系列：基于图像分类模型对图像进行分类
· go语言实现终端里的倒计时
· 如何编写易于单元测试的代码
· 10年+ .NET Coder 心语，封装的思维：从隐藏、稳定开始理解其本质意义
· .NET Core 中如何实现缓存的预热？
阅读排行：
· 分享一个免费、快速、无限量使用的满血 DeepSeek R1 模型，支持深度思考和联网搜索！
· 基于 Docker 搭建 FRP 内网穿透开源项目（很简单哒）
· 25岁的心里话
· ollama系列01：轻松3步本地部署deepseek，普通电脑可用
· 按钮权限的设计及实现
点击右上角即可分享
微信分享提示
AI IDE Trae