首页
论坛
课程
招聘
[原创]手动打造97字节PE
2010-11-23 10:17 5728

[原创]手动打造97字节PE

2010-11-23 10:17
5728

DOS头部
PE头和DOS头重合,DOS头部指向PE头的位置正好在选项头的节对齐位置,节对齐和文件对齐都设为4

0x8--0x1c之间是PE文件头


下面是重点,选项头部分


68 0c 00 40 00  ;push 0x0040000c(imageBase+0xc)  也就是c处的字符串 user32.dll  

e8 53 1d 40 7c  ;call LoadLibraryA(0x7c401d5c)
PE装载完后,Kernel32.dll会加载所以可以直接调用,此指令后地址为imageBase+0x28(0x00400028)
LoadLibraryA地址为0x7C801D7B 减去0x00400028 得到0x7C401D53

6a 00           ;push 0
eb 1c           ;jmp  0x00400048  (0x00400048 - 0x0040002c = 0x1c)  

6a 00           ;push 0
eb 10           ;jmp  0x0040005c  (0x0040005c - 0x0040004c = 0x10)

6a 00           ;push 0
eb d0           ;jmp  0x00400030

6a 00           ;push 0
eb 1c           ;jmp  0x00400050

e8 95079577     ;call MessageBoxA (此地址算法和LoadLibraryA同理)
c3              ;ret


97.rar

【看雪培训】《Adroid高级研修班》2022年夏季班招生中!

上传的附件:
收藏
点赞0
打赏
分享
最新回复 (3)
雪    币: 367
活跃值: 活跃值 (10)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
flowons 活跃值 2 2010-11-23 10:52
2
0
打造流程呢…贴出来学习下…
雪    币: 3
活跃值: 活跃值 (13)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Birth 活跃值 2010-11-23 11:31
3
0
晚上整理下,贴出来
雪    币: 39
活跃值: 活跃值 (10)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
dwboy 活跃值 2010-11-23 12:21
4
0
来支持的
游客
登录 | 注册 方可回帖
返回