Windows PE 文件加壳学习笔记(续1)

 上回我给出了加壳程序的核心的代码，这回我给出 相关的汇编代码。  使用汇编我很无奈，我还不能能用纯C/C++来实现这些嵌入的代码。 代码注释得很清楚，是加壳这个壳的原始代码。  其中的加压缩的部分其实就是脱壳的部分。 其中注释中注明需重定位的，则需要在组装EXE文件的时候修改的。  也就是地址的重定位。。。

1. cpu P3
2. bits 32
3. global _start
5. section .text
6. ;---------------------------------------------------------------
7. ;初始化
8. _start:
9.         push ebp
10.         mov ebp,esp
11.         sub esp,0x20
12.         pushad
13.         
14.         mov esi,0xFFFFFFFF  ;需重定位 解压源地址
15.         mov [ebp-0x04*0x00],esi
16.         mov edi,0xFFFFFFFF  ;需重定位   解压目的地址
17.         mov [ebp-0x04*0x01],edi
18.         mov ecx,0xFFFFFFFF  ;需重定位   压缩数据长度
19.         mov [ebp-0x04*0x02],ecx 
20.         mov eax,0xFFFFFFFF  ;需重定位   源代码入口
21.         mov [ebp-0x04*0x03],eax 
22.         
23.         mov eax,0xFFFFFFFF  ;需重定位   IAT源地址
24.         mov [ebp-0x04*0x04],eax     
25.         mov eax,0xFFFFFFFF  ;需重定位   IAT目的地址
26.         mov [ebp-0x04*0x05],eax     
27.         mov eax,0xFFFFFFFF  ;需重定位   IAT长度
28.         mov [ebp-0x04*0x06],eax             
30.         
31. ;---------------------------------------------------------------
32. ;解码，恢复原映像数据
34. ;   @decode_next_byte:
35. ;       mov al,[esi]
36. ;       not al
37. ;       mov [edi],al
38. ;       inc esi
39. ;       inc edi
40. ;       loop @decode_next_byte
42. ;pcx 的RLE解码
44.     @rle_decode_next_byte:
45.         mov al,[esi]
46.         cmp al,0xc0
47.         je @rle_decode_exit ;0xC0结束符
48.         jc @output_1
49.         jnc @output_x
51.         
52.     @output_1:
53.         mov al,[esi]
54.         mov [edi],al
55.         inc edi
56.         inc esi
57.         jmp @rle_decode_next_byte
58.         
59.     @output_x:
60.         mov al,[esi]
61.         sub al,0xC0
62.         xor ecx,ecx
63.         mov cl,al
64.         inc esi
65.         
66.         mov al,[esi]
67.     @next_repeat_byte:
68.         mov al,[esi]
69.         mov [edi],al
70.         inc edi 
71.         loop @next_repeat_byte
72.         inc esi
73.         jmp @rle_decode_next_byte
74.         
75.     @rle_decode_exit:
77.         
78. ;---------------------------------------------------------------
79. ;拷贝IAT
80.         mov ecx,[ebp-0x04*0x06]
81.         mov esi,[ebp-0x04*0x04]
82.         mov edi,[ebp-0x04*0x05]     
83.         dec ecx
84.     @copy_iat_next_byte:
85.         mov al,[esi]
86.         mov [edi],al
87.         inc esi
88.         inc edi     
89.         loop @copy_iat_next_byte
91. ;---------------------------------------------------------------
92. ;准备进入原镜像代码
95.         popad
96.         mov eax,[ebp-0x04*0x03]     
97.         mov esp,ebp
98.         pop ebp     
99.         jmp eax
102. ;---------------------------------------------------------------

以上就是了那个啥，汇编代码了。。。 使用nasm编译通过

我是使用命令 nasm -f bin loader.asm -l loader.lst -o loader.dat。 对了，上述的汇编代码保存成 loader.asm文件哦

关于如何重定位，相关的C++代码是这样的

1.     //重定位壳代码的地址
2.     *((DWORD*)(tmpSectionBuf_text.begin()+nPackerCodeEntryOffset+PackerCodeRelocateOffset[0])) = pPEHeaders->OptionalHeader.ImageBase+pPEHeaders->OptionalHeader.SizeOfImage;
3.     *((DWORD*)(tmpSectionBuf_text.begin()+nPackerCodeEntryOffset+PackerCodeRelocateOffset[1])) = pPEHeaders->OptionalHeader.ImageBase+pPEHeaders->OptionalHeader.SizeOfHeaders;
4.     *((DWORD*)(tmpSectionBuf_text.begin()+nPackerCodeEntryOffset+PackerCodeRelocateOffset[2])) = nPackerCodeEntryOffset;
5.     *((DWORD*)(tmpSectionBuf_text.begin()+nPackerCodeEntryOffset+PackerCodeRelocateOffset[3])) = pPEHeaders->OptionalHeader.ImageBase+pPEHeaders->OptionalHeader.AddressOfEntryPoint;
6.     *((DWORD*)(tmpSectionBuf_text.begin()+nPackerCodeEntryOffset+PackerCodeRelocateOffset[4])) = pPEHeaders->OptionalHeader.ImageBase+pPEHeaders->OptionalHeader.SizeOfImage+nPackerIATOffset;
7.     *((DWORD*)(tmpSectionBuf_text.begin()+nPackerCodeEntryOffset+PackerCodeRelocateOffset[5])) = pPEHeaders->OptionalHeader.ImageBase+pPEHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IAT].VirtualAddress;
8.     *((DWORD*)(tmpSectionBuf_text.begin()+nPackerCodeEntryOffset+PackerCodeRelocateOffset[6])) = pPEHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IAT].Size;
9.     

具体的看上回发的代码～～  结合上下文就能看明白了

另外我提一下，就是我采用的压缩解压算法是类似于 PCX 的游程码压缩，压缩比不是很高。。。 我就顺便提一下，嘿嘿。

由于时间问题，我没时间研究PE的资源等结构。。。所以现在这个加壳器不支持带资源的EXE文件，目前测试过的就是使用VC++编译的控制台程序运行正常～

找个机会我把我的工程代码发到 csdn 资源