第二章．    Dump程式的改進

第二章．    Dump程式的改進
“發展才是硬道理”
                                                   ----鄧小平
   正如我們上面一節所做的，一個dump的雛形已經形成了，現在要做的是給它在原來的基礎上做進一步的改進。

一.  獲取Imageofsize

相信大家也感覺到了，在前面一章介紹的獲取ImageofSize的辦法實在很不可靠，對於一個加殼程式隨意的修改他載入了記憶體中的PE頭，是很稀疏平常的事情。所以用讀取目標程式中的PE頭並不是一個好主義。
現在我就來介紹一下一般的辦法。對於LordPE他的dump是採用什麼方法呢？它採用了對Module32Next來獲取dump的程式的基本資訊的。

BOOL WINAPI Module32First(
HANDLE hSnapshot, //這是先前的CreateToolhelp32Snapshot函式返回的快照
  LPMODULEENTRY32 lpme //這個是指向MODULEENTRY32結構的指標
);

下面是MUDULEENTRY32結構：
typedef struct tagMODULEENTRY32 {
  DWORD dwSize;
  DWORD th32ModuleID;
  DWORD th32ProcessID;
  DWORD GlblcntUsage;
  DWORD ProccntUsage;
  BYTE *modBaseAddr;
  DWORD modBaseSize;    //這個是是我們要獲取的關鍵
  HMODULE hModule;
  TCHAR szModule[MAX_PATH];
  TCHAR szExePath[MAX_PATH];
  DWORD dwFlags;
} MODULEENTRY32, *PMODULEENTRY32, *LPMODULEENTRY32;

下面就給出重新寫的新的GetSizeOfImage的函式
int GetSizeOfImage(HWND hDlg,DWORD IDProcess)
{
  //這個函式的作用是獲取SizeOfImage的數值
  //當函式執行失敗返回的是0
  //成功返回的是非0
  HANDLE hModuleSnap = NULL;
  MODULEENTRY32 stModE  = {0};
  stModE.dwSize = sizeof(MODULEENTRY32);
  hModuleSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,IDProcess);  //快照，對本程式中所有的模組進行snap

  if (hModuleSnap == INVALID_HANDLE_VALUE)
  {
    MessageBox(hDlg,TEXT("The Module snapshot can't get!"),TEXT("Error!"),MB_OK | MB_ICONSTOP);
      return FALSE;    //返回0
  }
  if (!Module32First(hModuleSnap, &stModE))
  {
     MessageBox(hDlg,TEXT("The Module32First can't work!"),TEXT("Error!"),MB_OK | MB_ICONSTOP);
     CloseHandle (hModuleSnap);
     return FALSE;
  }
  CloseHandle (hModuleSnap);
  return stModE.modBaseSize;//初始化為0
}

二.  對齊節表

這個問題在上一節我們已經提出了，我們的程式不完善，現在要自動的實現RA=RVA ，RS=RVS這個功能。那麼我們就使用一個函式來完成它吧！我定義了下面這個函式：
BOOL ModifySectionFunc(HWND hDlg,LPCTSTR Dump_Name)
{
  //此函式的將修改dump下來的exe，使其RA=RVA ，RS=RVS
  //首先是開啟dump檔案
  HANDLE hFile=CreateFile(Dump_Name,GENERIC_WRITE | GENERIC_READ,0,0,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
  if(hFile==INVALID_HANDLE_VALUE)
  {

    MessageBox(hDlg,TEXT("I can open the dump file..."),TEXT("Error!!"),MB_OK | MB_ICONWARNING);
    return FALSE;
  }
    //下面移動到節表前面
  IMAGE_DOS_HEADER myDosHeader;
  DWORD NumberOfBytesRead;
  ReadFile(hFile,(LPVOID)&myDosHeader,sizeof(IMAGE_DOS_HEADER),&NumberOfBytesRead,NULL);
  SetFilePointer(hFile,myDosHeader.e_lfanew+sizeof(DWORD),NULL,FILE_BEGIN);
    IMAGE_FILE_HEADER myNtHeader;
  ReadFile(hFile,(LPVOID)&myNtHeader,sizeof(IMAGE_FILE_HEADER),&NumberOfBytesRead,NULL);
  int nSectionCount;
  nSectionCount = myNtHeader.NumberOfSections;             // 儲存Section個數
  // 過了IMAGE_NT_HEADERS結構就是IMAGE_SECTION_HEADER結構陣列了，注意是結構陣列，有幾個Section該結構就有幾個元素
  // 這裡動態開闢NumberOfSections個記憶體來儲存不同的Section資訊
  IMAGE_SECTION_HEADER *pmySectionHeader = (IMAGE_SECTION_HEADER *)calloc(nSectionCount, sizeof(IMAGE_SECTION_HEADER));
  SetFilePointer(hFile,myDosHeader.e_lfanew + sizeof(IMAGE_NT_HEADERS),NULL,FILE_BEGIN);
    ReadFile(hFile,(LPVOID)pmySectionHeader,sizeof(IMAGE_SECTION_HEADER)*nSectionCount,
         &NumberOfBytesRead,NULL);
  //移動回到節表的開始，準備寫入
  SetFilePointer(hFile,myDosHeader.e_lfanew + sizeof(IMAGE_NT_HEADERS),NULL,FILE_BEGIN);
  for (int i = 0; i < nSectionCount; i++, pmySectionHeader++)
  {
    //將RA=RVA ，RS=RVS
    pmySectionHeader->SizeOfRawData=pmySectionHeader->Misc.VirtualSize;
    pmySectionHeader->PointerToRawData=pmySectionHeader->VirtualAddress;
    //將修改好的數值寫回
    WriteFile(hFile,(LPVOID)pmySectionHeader,sizeof(IMAGE_SECTION_HEADER),&NumberOfBytesRead,NULL);
  }
  // 恢復指標
  pmySectionHeader -=nSectionCount;

  if (pmySectionHeader != NULL)          // 釋放記憶體
  {
    free(pmySectionHeader);
    pmySectionHeader = NULL;
  }

  // 最後不要忘記關閉檔案
  CloseHandle(hFile);
  return TRUE;
}

這個函式是在生成了一個新的dump檔案以後，然後在開啟它，找到節表。把裡面的資料修改過來。

三.  小節
這樣，一個改進型的程式就搞定了。現在當我們用他dump下新的程式的時候得到的就是一個有圖示的程式了。因為我們已經把節表修改過來了。下面一章我們將介紹anti-dump的技巧。

附件:例項下載

第二章． Dump程式的改進

相關文章