滴水逆向——filebuffer->imagebuffer->newbuffer->存盘

最新推荐文章于 2025-06-02 13:01:50 发布

「已注销」

最新推荐文章于 2025-06-02 13:01:50 发布

阅读量1.7k

点赞数 2

本文链接：https://blog.youkuaiyun.com/z17805008775/article/details/105367866

版权

本文详细探讨了PE文件从磁盘载入内存的过程，通过实例展示了如何将filebuffer转换为imagebuffer，进一步生成newbuffer，并最终保存到磁盘。内容包括PE文件在磁盘和内存的形态变化、问题描述、具体代码实现及结果的可视化展示。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.PE文件在磁盘中和内存中的变化

2.问题描述

3.代码实现

#include<stdio.h>
#include<stdlib.h>
#include<windows.h>

#define test 1

DWORD ToLoaderPE(LPSTR file_path, PVOID* pFileBuffer);

DWORD CopyFileBufferToImageBuffer(PVOID pFileBuffer, PVOID* pImageBuffer);
DWORD CopyImageBufferToNewFileBuffer(PVOID pImageBuffer, PVOID* pNewFileBuffer);
BOOL MemoryToFile(PVOID pMemBuffer, DWORD size, LPSTR lpszFile);

char file_path[] = "c:\\users\\njupt\\desktop\\notepad.exe";
char write_file_path[] = "D:\\Lib\\cp_XX.exe";

//返回PE文件大小
DWORD ToLoaderPE(LPSTR file_path, PVOID* pFileBuffer)
{
	FILE *pFile = NULL;
	DWORD FileSize = 0;
	PVOID pFileBufferTemp = NULL;

	pFile = fopen(file_path, "rb");

	if (!pFile)
	{
		printf("(ToLoaderPE)Can't open file!\n");
		return 0;
	}

	fseek(pFile, 0, SEEK_END);
	FileSize = ftell(pFile);
	printf("FileBuffer: %#x\n", FileSize);
	fseek(pFile, 0, SEEK_SET);
	pFileBufferTemp = malloc(FileSize);

	if (!pFileBufferTemp)
	{
		printf("(ToLoaderPE)Allocate dynamic memory failed!\n");
		fclose(pFile);
		return 0;
	}

	DWORD n =