PE之移动导出表(8)

源码GitHub：https://github.com/TL-SN/_TLSN_RES.PE

一、

部分关键代码：(考虑篇幅，这里只贴了部分代码，全部代码都在GitHub上或者 https://www.cnblogs.com/lordtianqiyi/articles/15782773.html)

/************************************************************/
/* 　　　　　　　　　　　　　　　　　　　　　　　　　　　　 */
/* 第一步：在DLL中新增一个节，并返回新增后的FOA */

/* 第二步：复制AddressOfFunctions */

/* 长度：4*NumberOfFunctions */

/* 第三步：复制AddressOfNameOrdinals */

/* 长度：NumberOfNames*2 */

/* 第四步：复制AddressOfNames */

/* 长度：NumberOfNames*4 */

/* 第五步：复制所有的函数名 */

/* 长度不确定，复制时直接修复AddressOfNames */

/* 第六步：复杂IMAGE_EXPORT_DIRECTORY结构 */

/* 第七步：修复IMAGE_EXPORT_DIRECTORY结构中的 */

/* AddressOfFunctions */

/* AddressOfNameOrdinals */

/* AddressOfNames */

/* 第八步：修复目录项中的值，指向新的IMAGE_EXPORT_DIRECTORY*/
/*　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 */
/************************************************************/



VOID _PE_User::RelMove_Export_Directory(LPVOID *pFileBuffer)
{
    LPVOID pTempFileBuffer = NULL;
    PE_S PeTmp_s;

    pTempFileBuffer = malloc(lenFile);
    memset(pTempFileBuffer,lenFile,0);
    memcpy(pTempFileBuffer,*pFileBuffer,lenFile);

    conBuffToAddr(PeTmp_s,pTempFileBuffer);
    if(!File_PE_s.pExportDir->NumberOfFunctions)
    {
        printf("无导出表\n");
        getchar();
        exit(0);
    }

    memcpy((void*)((DWORD)pTempFileBuffer + (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->PointerToRawData),(void*)((DWORD)pTempFileBuffer + RvaToFileOffset(PeTmp_s.pExportDir->AddressOfFunctions)),4 * (PeTmp_s.pExportDir->NumberOfFunctions));

    memcpy((void*)((DWORD)pTempFileBuffer + (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->PointerToRawData + 4*(PeTmp_s.pExportDir->NumberOfFunctions)),(void*)((DWORD)pTempFileBuffer + RvaToFileOffset(PeTmp_s.pExportDir->AddressOfNameOrdinals)),2 * (PeTmp_s.pExportDir->NumberOfNames));

    memcpy((void*)((DWORD)pTempFileBuffer + (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->PointerToRawData + 4*(PeTmp_s.pExportDir->NumberOfFunctions) + 2 * (PeTmp_s.pExportDir->NumberOfNames)),(void*)((DWORD)pTempFileBuffer + RvaToFileOffset(PeTmp_s.pExportDir->AddressOfNames)),4 * (PeTmp_s.pExportDir->NumberOfNames));

    
    DWORD size_of_name[0x1000] = {0};

    LPDWORD AddressOfNames = (PDWORD)((DWORD)pTempFileBuffer + RvaToFileOffset(PeTmp_s.pExportDir->AddressOfNames));
    DWORD AddrExport = 4 * (PeTmp_s.pExportDir->NumberOfNames) + 2 * (PeTmp_s.pExportDir->NumberOfNames) + 4 * (PeTmp_s.pExportDir->NumberOfFunctions);
    
    for(int i =0;i<PeTmp_s.pExportDir->NumberOfNames;i++)
    {
        size_of_name[i] = strlen((char*)((DWORD)pTempFileBuffer + RvaToFileOffset(*(AddressOfNames+i)))) + 1;//加一是为了补 '\0'结束符 //

        memcpy((void*)((DWORD)pTempFileBuffer + (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->PointerToRawData + 4*(PeTmp_s.pExportDir->NumberOfFunctions) + 2 * (PeTmp_s.pExportDir->NumberOfNames) + 4 * (PeTmp_s.pExportDir->NumberOfNames) + size_of_name[i]),(void*)((char*)((DWORD)pTempFileBuffer + *(AddressOfNames+i))),size_of_name[i]);
        *(PDWORD)((DWORD)pTempFileBuffer + PeTmp_s.pExportDir->AddressOfNames + i*4) =  (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->PointerToRawData + 4*(PeTmp_s.pExportDir->NumberOfFunctions) + 2 * (PeTmp_s.pExportDir->NumberOfNames) + 4 * (PeTmp_s.pExportDir->NumberOfNames) + size_of_name[i];
        
        AddrExport = AddrExport + size_of_name[i];
    }

    PeTmp_s.pExportDir->AddressOfFunctions = (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->VirtualAddress;

    PeTmp_s.pExportDir->AddressOfNameOrdinals = (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->VirtualAddress + 4*(PeTmp_s.pExportDir->NumberOfFunctions);

    PeTmp_s.pExportDir->AddressOfNames = (PeTmp_s.pSectionHeader + PeTmp_s.pPEHeader->NumberOfSections - 1)->VirtualAddress + 4*(PeTmp_s.pExportDir->NumberOfFunctions) + 2 * (PeTmp_s.pExportDir->NumberOfNames);

    *pFileBuffer = pTempFileBuffer;
    conBuffToAddr(File_PE_s,pTempFileBuffer);
}

二、依然是这个dll：

C:\\WINDOWS\\system32\\nsi.dll

LOADPE正常解析

对比正常的dll文件,可以看到，移动后的dll文件，AddressOfFunctions，AddressOfName，AddressOfNameOfOridinals都变了... 说明实验比较成功

__EOF__

本文作者：_TLSN
本文链接：https://www.cnblogs.com/lordtianqiyi/articles/15782630.html
关于博主：评论和私信会在第一时间回复。或者直接私信我。
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！
声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是博主的最大动力！