注释PEMaker6源代码（三）

今天大概看了一下精华8《向PE中注入代码》的译文，之前没有仔细看过，因为发现看过之后对源代码还是不是很明白，所以就没有参照这篇译文进行注释，大多都是自己理解+网上搜索，今天发现很多地方有失误。  大框的地方一定要参照译文，不要被我蒙蔽了。  继续注释CPECryptor类,如下： //在pecrypt.cpp里，我提供了另外一个类――CPECryptor，用它组建新区段的数据。 //然而，新区段的数据是被loader.cpp里的DynLoader()（在DynLoader Step 1中介绍的）创建的。 //因此，我们用CPECryptor类把这些数据（也有其它的数据）输入新区段。 //看完这段翻译基本没懂 const char *szWindowsAPIs[]= {     "Kernel32.dll",     "GetModuleHandleA",     "VirtualProtect",     "GetModuleFileNameA",     "CreateFileA",     "GlobalAlloc",     "VirtualAlloc",     "LoadLibraryA",     "GetProcAddress",     0,     "User32.dll",     "MessageBoxA",     0,     0, }; //================================================================ //---------------------------------------------------------------- // Function: ReturnToBytePtr // void* FuncNum:   Function Name // DWORD findstr:   String to find // This code was written by FEUERRADER [AHTeam], Thanks him! //在loader.cpp文件中的DynLoader函数里寻找指定字符串，并返回其地址 void* CPECryptor::ReturnToBytePtr(void* FuncName, DWORD findstr) {     void* tmpd;     __asm     {         mov eax, FuncName         jmp df hjg:    inc eax df:        mov ebx, [eax]         cmp ebx, findstr         jnz hjg         mov tmpd, eax     }     return tmpd; } //================================================================ //此函数构建新节及导入表---------------------------------------------------------------- void CPECryptor::CryptFile(int(__cdecl *progress) (unsigned int, unsigned int)) {     PCHAR ch_temp;     PIMAGE_SECTION_HEADER pimage_section_header;     DWORD dwNewSectionSize;     DWORD dwCodeSize;     DWORD dwCodeOffset;     //进度条控件----------------------------------------     progress(0,0);     //是否DLL     if((image_nt_headers->FileHeader.Characteristics&IMAGE_FILE_DLL)==IMAGE_FILE_DLL)     {         //构造CITMaker类         ImportTableMaker = new CITMaker(IMPORT_TABLE_OCX);     }     else     {         ImportTableMaker = new CITMaker(IMPORT_TABLE_EXE);     }     //----------------------------------------     //========================================     //ch_temp指向DYN_LOADER_START_MAGIC之后的地址     ch_temp=(PCHAR)DWORD(ReturnToBytePtr(DynLoader, DYN_LOADER_START_MAGIC))+4;     //计算DynLoader函数代码长度     dwCodeSize=DWORD(ReturnToBytePtr(DynLoader, DYN_LOADER_END_MAGIC))-DWORD(ch_temp);     //自定义导入表大小     dwCodeOffset = ImportTableMaker->dwSize;     //新节大小=DynLoader函数代码长度+自定义导入表大小     dwNewSectionSize = dwCodeSize + ImportTableMaker->dwSize;     //分配空间     pNewSection=new TCHAR[dwNewSectionSize];     //复制DynLoader函数代码到偏移dwCodeOffset的位置之后     memcpy(pNewSection+dwCodeOffset, ch_temp, dwCodeSize);     //========================================     //----------------------------------------     //添加新节，并返回新节指针     pimage_section_header=AddNewSection(".xxx",dwNewSectionSize);     //----------------------------------------     //========================================     //参数为新节在内存的偏移地址     CopyData1(pimage_section_header->VirtualAddress);     //参数同上，构建自定义导入表     ImportTableMaker->Build(pimage_section_header->VirtualAddress);// build import table by the current virtual address     //构建的导入表在新节数据前，注意相互位置     memcpy(pNewSection, ImportTableMaker->pMem, ImportTableMaker->dwSize);     //========================================     //将新节数据复制到image_section(已经初始化)----------------------------------------     memcpy(image_section[image_nt_headers->FileHeader.NumberOfSections-1],            pNewSection,            dwNewSectionSize);     //入口地址更改为新节的DynLoader函数代码处     image_nt_headers->OptionalHeader.AddressOfEntryPoint=pimage_section_header->VirtualAddress + dwCodeOffset;     //导入表地址更改为新导入表地址     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress=pimage_section_header->VirtualAddress;     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].Size=ImportTableMaker->dwSize;     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress=0;     image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].Size=0;     SetSectionsWritePermission();     //----------------------------------------     delete []pNewSection;     delete ImportTableMaker;     //----------------------------------------     progress(100,0); } //这个结构对应DynLoader函数里DYN_LOADER_START_DATA1标志后面的东西，具体 //是自定义结构？请高手指点，本人水平到此，分析不出了 //译文：为了找到OEP的virtual address，我们立即保存原始的OEP和Image Base。 //我在DynLoader()的尾部预留了一块空地来保存它们 typedef struct {     //保留     DWORD dwReserved1;     //文件类型     DWORD dwFileType;     //基地址     DWORD dwImageBase;     //原始入口点     DWORD dwOrgEntryPoint;     //导入表虚拟地址     DWORD dwImportVirtualAddress;     //重定位表虚拟地址及大小     DWORD dwRelocationVirtualAddress;     DWORD dwRelocationSize;     //TLS     IMAGE_TLS_DIRECTORY32 image_tls_directory; }t_DATA_1,*pt_DATA_1; //此函数将实际数据填充到DynLoader函数指定位置里 void CPECryptor::CopyData1(DWORD dwVirtualAddress) {     int i, API_num;     PCHAR pData1;     DWORD dwOffset;     size_t l;     UCHAR temp;     //为结构分配内存     pt_DATA_1 pDataTable=new(t_DATA_1);     //----------------------------------------     //保留,0xcccccccc应该没有意义     pDataTable->dwReserved1=0xCCCCCCCC;     //如果为DLL，填入文件类型     if((image_nt_headers->FileHeader.Characteristics&IMAGE_FILE_DLL)==IMAGE_FILE_DLL)         pDataTable->dwFileType=IMPORT_TABLE_OCX;     else         pDataTable->dwFileType=IMPORT_TABLE_EXE;     //填充镜像首地址     pDataTable->dwImageBase=image_nt_headers->OptionalHeader.ImageBase;     //填充入口点     pDataTable->dwOrgEntryPoint=image_nt_headers->OptionalHeader.AddressOfEntryPoint;     //填充导入表地址(RVA)     pDataTable->dwImportVirtualAddress=image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress;     if((image_nt_headers->FileHeader.Characteristics&IMAGE_FILE_DLL)==IMAGE_FILE_DLL)     {         //如果是DLL，填充重定位表         pDataTable->dwRelocationVirtualAddress=image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress;         pDataTable->dwRelocationSize=image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].Size;     }     //前面已经将DynLoader函数读入我们申请的内存中----------------------------------------     //故在pNewSection指向的内存中找到DYN_LOADER_START_DATA1标志，返回地址     pData1=(PCHAR)ReturnToBytePtr(pNewSection, DYN_LOADER_START_DATA1);     //看了好几个TLS了，是什么？     //通过使用线程本地储存（TLS），一个程序能够执行多线程程序，     //这样子的程序大多数是用Borland链接器：Delphi和C++, Builder.      //当你包装一个PE文件时，你应该小心的清空TLS，     //否则，你的打包器就不支持Borland Delphi 和 C++ Builder链接的EXE文件。     //修正可选头部TLS目录入口是很有必要的。     if(image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_TLS].VirtualAddress!=0)     {         //image_tls_directory定义在pelib.cpp中         memcpy(&pDataTable->image_tls_directory,                 image_tls_directory,                 sizeof(IMAGE_TLS_DIRECTORY32));         dwOffset=DWORD(pData1)-DWORD(pNewSection);         //计算偏移         dwOffset+=sizeof(t_DATA_1)-sizeof(IMAGE_TLS_DIRECTORY32);         //更新文件头，指向新的TLS表         //传递的参数在这里应用         image_nt_headers->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_TLS].VirtualAddress=dwVirtualAddress + dwOffset;     }     //替换为实际数值----------------------------------------     memcpy(pData1,pDataTable,sizeof(t_DATA_1));     dwOffset=sizeof(t_DATA_1);     i=API_num=0;     temp=0;     //循环填充实际数值     do     {         l=strlen(szWindowsAPIs[i])+1;         //复制动态库名         memcpy(pData1+dwOffset,szWindowsAPIs[i],l);         //偏移长度         dwOffset+=l;         do         {             i++;             if(szWindowsAPIs[i]!=0)             {                 //复制下一个函数名                 l=strlen(szWindowsAPIs[i])+1;                 memcpy(pData1+dwOffset,szWindowsAPIs[i],l);                 dwOffset+=l;                 //API数量                 API_num++;             }             else             {                 //放置0                 CopyMemory(pData1+dwOffset,&temp,1);                 dwOffset++;             }         }while(szWindowsAPIs[i]!=0);         i++;     }     while(szWindowsAPIs[i]!=0);     //----------------------------------------     delete pDataTable; } //---------------------------------------------------------------- void CPECryptor::SetSectionsWritePermission() {     for(int i=0;i<image_nt_headers->FileHeader.NumberOfSections;i++)     {         //设置所有表的标志         image_section_header[i]->Characteristics=0xC0000040;     } } //----------------------------------------------------------------