正在学PE结构...感谢个位大哥的文章和资料...这里先说声谢谢

一般高级编译器都是编译好的PE头部,例如MASM,TASM等
一直都说NASM,FASM是低级编译器.可以自定义结构
但是苦于无人发布相关文章说明..我这里就简单的用NASM写一下
由于刚学PE结构许多东西都不太懂希望个位大侠指点
如何打造一个迷你的PE结构..我暂只只能作到617字节
下面随着学习的深入...还有更迷你的PE出现...

代码可以直接编译..
编译参数:nasmw -fbin MsgBoxA.asm -o MsgBoxA.exe

请下载最新的NASM for Win32编译器
当前最新版本:NASM 0.98.39

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
;Small PE Header Demo For NASM
;Email:Anskya@Gmail.com
;
;代码说明:NASM 编写迷你PE代码.(C) 2006.3.20
;1.自构造PE头部
;2.自构造导入表结构
;
;Thank:Vecna[29A],Nguga aka PedroGC Made NAGOA+.INC
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
 
[BITS 32]
%define    CODE_BASE    1000h               ;代码基址
%define    RVADIFF      1000h-200h          ;计算内存数据与硬盘数据相对便宜
%define    imagebase    00400000h           ;代码基址
%define    reloc        RVADIFF+imagebase   ;全局偏移--一个很重要的参数
 
;DOS STUB头部
MZ_Header:
.magic                  dw "MZ"     ;01 02----DOS STUB标识[关键数据]
.cblp                   dw 435Bh    ;03 04--[非关键数据]
.cp                     dw 415Dh    ;05 06--[非关键数据]
.crlc                   dw 736Eh    ;07 08--这十个字节我们可以写一点自己的个人信息[非关键数据]
.cparhdr                dw 796Bh    ;09 10--[非关键数据]
.minalloc               dw 2161h    ;11 12--[非关键数据]
 
PE_Header:
.Signature              dd "PE"     ;13 14 | 15 16----PE 头部起始[关键数据]
.Machine                dw 14Ch     ;17 18----该文件运行所要求的CPU:IMAGE_FILE_MACHINE_I386[关键数据]
.NumberOfSections       dw 1        ;19 20----文件节数量[关键数据]
.TimeDateStamp          dd 0h       ;21 22 | 23 24----文件创建日期和时间[非关键数据]
.PointerToSymbolTable   dd 0h       ;25 26 | 27 28----调试信息-[非关键数据]
.NumberOfSymbols        dd 0h       ;29 30 | 31 32----调试信息-[非关键数据]
.SizeOfOptionalHeader   dw 0E0h     ;33 34----OptionalHeader 结构大小[关键数据]
.Characteristics        dw 103h     ;35 36----文件信息的标记:比如文件是exe还是dll[关键数据]
 
Optional_Header:
.Magic                  dw 10Bh     ;37 38----[关键数据]
.MajorLinkerVersion     db 0h       ;39----[非关键数据]
.MinorLinkerVersion     db 0h       ;40----[非关键数据]
.SizeOfCode             dd 0h       ;41 42 | 43 44----[非关键数据]
.SizeOfInitializedData  dd 0h       ;45 46 | 47 48----[非关键数据]
.SizeOfUninitialzedData dd 0h       ;49 50 | 51 52----[非关键数据]
.AddressOfEntryPoint    dd code+RVADIFF ;53 54 | 55 56----代码基址+RVA=此值---需要计算[关键数据]
.BaseOfCode             dd 0h   ;57 58 | 59 60----代码基址[非关键数据]
;.BaseOfData            dd DATA_BASE    ;数据基址-被下面的.lfanew替换了~这个数值本身也没有什么用
.lfanew                 dd 0Ch      ;61 62 | 63 64----标识.PE头部的起始位置这里写为C-看上面第13字节
;DOS STUB部分的最后结尾部分---标识:PE头部的起始位置~他的位置是固定的所以只能写在最后了
;align 16, DB 0                    
.ImageBase              dd imagebase;65 66 | 67 68----内存映射基址--默认为00400000h[关键数据]
.SectionAlignment       dd 01000h   ;69 70 | 71 72----内存中节对齐--如果该值是1000h那么每节的起始地址必须是4096的倍数,
.FileAlignment          dd 0200h    ;73 74 | 75 76----文件对齐[关键数据]..明白吧
.MajorOperSystemVersion dw 0h       ;77 78--[非关键数据]
.MinorOperSystemVersion dw 0h       ;79 80--[非关键数据]
.MajorImageVersion      dw 0h       ;81 82--win32子系统版本。若PE文件是专门为Win32设计的[非关键数据]
.MinorImageVersion      dw 0h       ;83 84--该子系统版本必定是4.0否则对话框不会有3维立体感[非关键数据]
.MajorSubsystemVersion  dw 4        ;85 86--[关键数据]
.MinorSubsystemVersion  dw 0        ;87 88--[关键数据]
.Reserved1              dd 0        ;89 90 | 91 92----[非关键数据]
.SizeOfImage            dd 2000h    ;93 94 | 95 96----内存中整个PE映像体的尺寸,它是所有头和节经过节对齐处理后的大小[关键数据]
.SizeOfHeaders          dd code     ;97 98 | 99 100---所有头+节表的大小,也就等于文件尺寸减去文件中所有节的尺寸,可以以此值作为PE文件第一节的文件偏移量[关键数据]
.CheckSum               dd 0h       ;101 102 | 103 104----[非关键数据]
.Subsystem              dw 2        ;105 106----PE文件属子系统,2=Win32 GUI,3=Win32 Console[关键数据]
.DllCharacteristics     dw 0        ;107 108----[非关键数据]
 
.SizeOfStackReserve1    dd 100000h  ;109 110 | 111 112----[关键数据]
.SizeOfStackCommit1     dd 2000h    ;113 114 | 115 116----[关键数据]
.SizeOfStackReserve2    dd 100000h  ;117 118 | 119 120----[关键数据]
.SizeOfStackCommit2     dd 2000h    ;121 122 | 123 124----[关键数据]
 
.LoaderFlags            dd 0h       ;125 126 | 127 128----[非关键数据]
.NumberOfRvaAndSizes    dd 10h      ;129 130 | 131 132----[关键数据]
 
Data_Directories:
.ExportRva              dd 0h       ;133 134 | 135 136----导出表虚拟偏移[非关键数据]
.ExportSize             dd 0h       ;137 138 | 139 140----导入表长度[非关键数据]
.ImportRva              dd import+RVADIFF   ;141 142 | 143 144----导入表虚拟偏移[关键数据]
.ImportSize             dd code_end-import  ;145 146 | 147 148----导入表长度[关键数据]
;导入表结构部分~这个地方需要仔细构造[尚未研究彻底]
;.misc_sectionz times 28 dd 0       ;其他部分~对于我们完全没用的
.ResourceRva            dd 0h       ;资源表虚拟偏移[非关键数据]
.ResourceSize           dd 0h       ;资源表长度[非关键数据]
.ExceptionRva           dd 0h       ;没玩过这东东[非关键数据]
.ExceptionSize          dd 0h       ;没玩过这东东[非关键数据]
.CertificateRva         dd 0h       ;没玩过这东东[非关键数据]
.CertificateSize        dd 0h       ;没玩过这东东[非关键数据]
.BaseRelocationRva      dd 0h       ;基址重定位表虚拟偏移[非关键数据]
.BaseRelocationSize     dd 0h       ;基址重定位表长度[非关键数据]
.DebugRva               dd 0h       ;调试信息虚拟偏移[非关键数据]
.DebugSize              dd 0h       ;调试信息长度[非关键数据]
.DescriptionRva         dd 0h       ;没玩过这东东[非关键数据]
.DescriptionSize        dd 0h       ;没玩过这东东[非关键数据]
.MachineRva             dd 0h       ;没玩过这东东[非关键数据]
.MachineSize            dd 0h       ;没玩过这东东[非关键数据]
.TLSRva                 dd 0h       ;线程处理数据[关键数据]
.TLSSize                dd 0h       ;线程处理数据长度[关键数据]
.LoadConfigRva          dd 0h       ;没玩过这东东[关键数据]
.LoadConfigSize         dd 0h       ;没玩过这东东[关键数据]
.BoundImportRva         dd 0h       ;绑定导入表数据[关键数据]
.BoundImportSize        dd 0h       ;绑定导入表数据长度[关键数据]
.IATRva                 dd 0h       ;没玩过这东东[关键数据]
.IATSize                dd 0h       ;没玩过这东东[关键数据]
.DelayImportDescriptor1 dd 0h       ;没玩过这东东[非关键数据]
.DelayImportDescriptor2 dd 0h       ;没玩过这东东[非关键数据]
.COMRuntimeHeader1      dd 0h       ;COM+ 时间连接库虚拟偏移地址[非关键数据]
.COMRuntimeHeader2      dd 0h       ;COM+ 时间连接库长度[非关键数据]
.Reserved1              dd 0h       ;这东东就真的没听说过了[非关键数据]
.Reserved2              dd 0h       ;这东东就真的没听说过了[非关键数据]
;以上乃~~PE结构头部信息~请按照说明进行修改---谢谢我自己
 
sections:
.SectionName            db ".Anskya",0
.VirtualSize            dd CODE_BASE    ;虚拟体积
.VirtualAddress         dd CODE_BASE    ;虚拟地址
.SizeOfRawData          dd code_end-code;数据体积
.PointerToRawData       dd code         ;数据偏移
.PointerToRelocations   dd 0
.PointerToLinenumbers   dd 0
.NumberOfRelocations    dw 0
.NumberOfLinenumbers    dw 0
.Characteristics        dd 0E0000060h   ;段属性...不用说了吧
 
align 200h, DB 0                        ;对齐0x200
 
code:
    pushad
    sub eax,eax
    push eax                            ;0
    push 00400105h                      ;把节名称压入堆栈
    push 00400002h                      ;把MZ后面的个人信息压入堆栈
    push eax                            ;MB_OK
    call [MessageBoxA]                  ;调用导入表地址
    popad
    ret
     
align 16, DB 0
 
;以下导入表部分....仅仅为了演示就没有写导出表部分...具体参见<<软件加密技术内幕>>
import  dd 0
        dd 0
        dd -1
        dd dll001+RVADIFF      
        dd api001+RVADIFF
         
        times 5 dd 0                    ;空处4*5个00的空位
         
dll001  db 'USER32.DLL',0               ;导入DLL名称
 
api001  dd api101+RVADIFF               ;计算导入表的内存地址
        dd 0
         
api101  dw 0
        db 'MessageBoxA',0              ;导入函数
         
MessageBoxA equ api001+reloc+4*0        ;函数地址声明...如有多余的函数请api00N+reloc+4*N
 
code_end:

相关代码见附件...

https://bbs.pediy.com/thread-28316.htm

编写自定义PE结构的程序(如何手写一个PE，高级编译器都是编译好的PE头部,例如MASM,TASM等，NASM,FASM是低级编译器.可以自定义结构)的更多相关文章

  1. 放弃antd table，基于React手写一个虚拟滚动的表格

    缘起 标题有点夸张,并不是完全放弃antd-table,毕竟在react的生态圈里,对国人来说,比较好用的PC端组件库,也就antd了.即便经历了2018年圣诞彩蛋事件,antd的使用者也不仅不减,反 ...

  2. 只会用就out了，手写一个符合规范的Promise

    Promise是什么 所谓Promise,简单说就是一个容器,里面保存着某个未来才会结束的事件(通常是一个异步操作)的结果.从语法上说,Promise 是一个对象,从它可以获取异步操作的消息.Prom ...

  3. 手把手教你手写一个最简单的 Spring Boot Starter

    欢迎关注微信公众号:「Java之言」技术文章持续更新,请持续关注...... 第一时间学习最新技术文章 领取最新技术学习资料视频 最新互联网资讯和面试经验 何为 Starter ? 想必大家都使用过 ...

  4. 手写一个springboot starter

    springboot的starter的作用就是自动装配.将配置类自动装配好放入ioc容器里.作为一个组件,提供给springboot的程序使用. 今天手写一个starter.功能很简单,调用start ...

  5. 看年薪50W的架构师如何手写一个SpringMVC框架

    前言 做 Java Web 开发的你,一定听说过SpringMVC的大名,作为现在运用最广泛的Java框架,它到目前为止依然保持着强大的活力和广泛的用户群. 本文介绍如何用eclipse一步一步搭建S ...

  6. 摊牌了！我要手写一个“Spring Boot”

    目前的话,已经把 Spring MVC 相关常用的注解比如@GetMapping .@PostMapping .@PathVariable 写完了.我也已经将项目开源出来了,地址:https://gi ...

  7. 浅析MyBatis（二）：手写一个自己的MyBatis简单框架

    在上一篇文章中,我们由一个快速案例剖析了 MyBatis 的整体架构与整体运行流程,在本篇文章中笔者会根据 MyBatis 的运行流程手写一个自定义 MyBatis 简单框架,在实践中加深对 MyBa ...

  8. 『练手』手写一个独立Json算法 JsonHelper

    背景: > 一直使用 Newtonsoft.Json.dll 也算挺稳定的. > 但这个框架也挺闹心的: > 1.影响编译失败:https://www.cnblogs.com/zih ...

  9. 教你如何使用Java手写一个基于链表的队列

    在上一篇博客[教你如何使用Java手写一个基于数组的队列]中已经介绍了队列,以及Java语言中对队列的实现,对队列不是很了解的可以我上一篇文章.那么,现在就直接进入主题吧. 这篇博客主要讲解的是如何使 ...

随机推荐

  1. ajax原生post请求

    <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8&quo ...

  2. POJ 1502 MPI Maelstrom【floyd】

    题目大意:求点1到所有点最短路径的最大值 思路:水题,单源最短路,网上解题清一色dijkstra,但是点数小于100显然floyd更简洁嘛 #include<cstdio> #includ ...

  3. [AHOI2009]维护序列 (线段树)

    题目描述 老师交给小可可一个维护数列的任务,现在小可可希望你来帮他完成. 有长为N的数列,不妨设为a1,a2,-,aN .有如下三种操作形式: (1)把数列中的一段数全部乘一个值; (2)把数列中的一 ...

  4. P2016 战略游戏 (树形DP)

    题目描述 Bob喜欢玩电脑游戏,特别是战略游戏.但是他经常无法找到快速玩过游戏的办法.现在他有个问题. 他要建立一个古城堡,城堡中的路形成一棵树.他要在这棵树的结点上放置最少数目的士兵,使得这些士兵能 ...

  5. gcc/g++ 编译时出现：“对’xxxx’未定义的引用，collect2: error: ld returned 1 exit status” 的错误

    出现的问题: 在使用 make 编译实现一个程序时,出现了下面的错误.查看程序源文件所在的目录时发现程序已经完成了编译,并生成了 list_repo.o 的文件,说明是在程序链接生成可执行文件时发生了 ...

  6. Codevs 2956 排队问题

    2956 排队问题 时间限制: 1 s 空间限制: 32000 KB 题目等级 : 黄金 Gold 题目描述 Description 有N个学生去食堂,可教官规定:必须2人或3人组成一组,求有多少种不 ...

  7. 思维定势--AtCoder Regular Contest 092 D - Two Sequences

    $n \leq 100000$的俩序列,数字范围$2^{28}$,问所有$a_i+b_j$的$n^2$个数字的异或和. 这种东西肯定是按位考虑嘛,从低位开始然后补上进位.比如说第一位俩串分别有$c$个 ...

  8. 使用Reachability检测网格

    
#pragma mark - 网络连接检查 - (void) currentReach { // 网络检测 Reachability *curReach = [Reachability reacha ...

  9. Codechef Yet another cute girl

    题意大概就是让你求一下[L,R]中的约数个数是素数的数的个数. 其中1<=L<=R<=1e12,R-L<=1e6. 然后我写了两种做法,第一种是可以直接搞出来L-R的约数个数, ...

  10. spark hbase

    1 配置 1.1 开发环境: HBase:hbase-1.0.0-cdh5.4.5.tar.gz Hadoop:hadoop-2.6.0-cdh5.4.5.tar.gz ZooKeeper:zooke ...