WindowsPE文件格式入门06.手写最小PE

news2025/4/15 8:26:01

https://bpsend.net/thread-346-1-1.html

实现目标

  • 实现目标：手写实现不大于 200 Byte大小的PE文件（又名：畸形PE/变形PE），要求MessageBox弹框显示一个字符串。
  • 实现要点：充分利用空间，在保证遵循PE结构的基础上对数据结构进行重构存放。

环境工具

  • 运行环境--XP系统：XP对于畸形PE的兼容性更高。参数检查相对win7和win10更宽松
  • 编辑器--winhex：用于编写PE文件。

步骤

1.创建文件
  • 使用winhex工具，新建200字节大小的文件

    img

myWinPE.exe文件创建流程

2.编写DOS_HEADER部分 (大小为 0x 40 )
  • 文件偏移+0x00（注1），**WORD e_magic→'MZ'文件头标识：0x5A4D（注2）**
  • 文件偏移+0x3C，**LONG e_lfanew→指向NT头'PE'标识的地址：**0x00000040
    • 此处设置NT头地址为0x4偏移的原因：1.充分利用每字节可用空间，DOS除首尾两字段外都非必要字段，可用；2.当NT头置于0x4处，0x3C的功能不仅是指向NT头标识，还将成为选项头的成员SectionAlignment（文件对齐值），在XP中，此项最小值为4。综上两点，此处写入0x4最为合适。

  • img

DOS_HEADER部分内容

3.编写NT头的Signature部分

Dos头中间有 大量 无用数据,可以把 NT 头数据拷到 dos 头 偏移位4的位置,然后修改 dos头 指向 NT头的偏移但是全部拷贝放不下,因此只能拷贝一部分,到导入表结束(因为后面的数据表没用)

  • 文件偏移+0x04，DWORD Signature→'PE00'NT头标识：0x00004550

  • img

4.编写NT头的FILE_HEADER部分
  • 文件偏移+0x08，WORD Machine→指定程序的运行平台：0x104C（运行于Intel 386）
  • 文件偏移+0x10，WORD NumberOfSections→PE中的节数量：0x0001（最小限值）
  • 文件偏移+0x18，WORD SizeOfOptionalHeader→选项头大小：0x0080
    • 选项头大小默认为0xE0，不过以目标为导向，我们还是要力求最小，计算可得，不包含数据目录字段的选项头结构体大小是0x60，而每一个数据目录数组元素的大小是0x8，此处我们留出4个数据目录元素的大小，即4*8=0x20，加上0x60=0x80。
  • 文件偏移+0x1A，WORD Characteristics→文件属性：0x010F
    • 0x010F组合属性表示：只在32位平台上运行的不存在行信息、重定位信息、符号信息的可执行文件。

  • img

NT头的FILE_HEADER部分内容

5.编写NT头的OPTIONAL_HEADER部分
  • 文件偏移+0x1C，WORD Magic→PE标志字即程序位数：0x010B（32位系统）
  • 文件偏移+0x28，DWORD AddressOfEntryPoint→程序执行入口RVA：0x00000000
  • 文件偏移+0x38，DWORD ImageBase→内存加载基址：0x00400000（exe默认）
  • 文件偏移+0x40，DWORD FileAlignment→文件对齐值：0x00000004（最小限值）
  • 文件偏移+0x4C，WORD MajorSubsystemVersion→主子系统版本号：0x0004（恢复默认不可修改）
  • 文件偏移+0x4E，WORD MinorSubsystemVersion→副子系统版本号：0x0000（恢复默认不可修改）
  • 文件偏移+0x50，DWORD Win32VersionValue→版本号，XP中须为0：0x00000000
  • 文件偏移+0x54，DWORD SizeOfImage→PE文件在进程内存中的总大小：0x00001000（内存预计占用1页内）
  • 文件偏移+0x58，DWORD SizeOfHeaders→PE文件头部在文件中的总大小：0x000000C4（=文件实现目标大小）
  • 文件偏移+0x60，WORD Subsystem→程序类型：0x0002（2=图形界面）
  • 文件偏移+0x62，WORD DllCharacteristics→文件特性：0x0000（默认为0）
  • 文件偏移+0x64，DWORD SizeOfStackReserve→初始化时保留的栈大小：0x07FFFFFF
  • 文件偏移+0x68，DWORD SizeOfStackCommit→初始化时实际提交的栈大小：0x07FFFFFF
  • 文件偏移+0x6C，DWORD SizeOfHeapReserve→初始化时保留的堆大小：0x07FFFFFF
  • 文件偏移+0x70，DWORD SizeOfHeapCommit→初始化时实际提交的堆大小：0x07FFFFFF
  • 文件偏移+0x78，DWORD NumberOfRvaAndSizes→数据目录的元素个数：0x00000004
  • 文件偏移+0x7C，DataDirectory[4]→4项元素的数据目录：全0

  • img

NT头的OPTIONAL_HEADER部分内容

6.编写节表部分
  • 文件偏移+0xA4，DWORD VirtualSize→内存时机占用大小：0x000000C4
  • 文件偏移+0xA8，DWORD VirtualAddress→内存地址RVA：0x00000000
  • 文件偏移+0xAC，DWORD SizeOfRawData→文件大小：0x000000C4
  • 文件偏移+0xB0，DWORD PointerToRawData→文件偏移：0x00000000
  • 文件偏移+0xC4，DWORD Characteristics→节属性：0xE00000E0
    • 0xE00000E0 = 1110 0000 0000 0000 0000 0000 1110 0000，根据图3-5显示，此属性值表示节中包含代码、已初始化数据和未初始化数据，且映射到内存后的页面可执行可读写。
  • *0xA4-0xB3含义：从文件偏移为0x0的位置，拷贝0xC4大小的数据到内存偏移为0x0的位置，占用内存0xC4大小

  • img

节表部分内容

7.基础PE总览（xdm先备份一下，再做后方花里胡哨的操作）

  • img

基础PE内容总览

8.编写导入内容：库+函数
  • 根据导入内容思考设计：实现弹框需要写入两项内容：1.库名（user32）；2.函数名（MessageBoxA）。根据两个字符串的长度（+00结束符）找到最合适的位置并写入：
    • 文件偏移+0x30， dll名："user32 "，7Byte
    • 文件偏移+0x0C， 函数名："MessageBoxA "，12Byte

    • img

写入库名和函数名

9.编写导入表项
  • 导入表IMAGE_IMPORT_DESCRIPTOR 置于0xB0处，因为PE加载后，0xB0-0xC3处内存会被初始化为全0。
  • 文件偏移+0xBC：DWORD Name→RVA指向dll名：0x00000030
  • 文件偏移+0xC0：DWORD FirstThunk→RVA指向IAT表：0x0000009C

  • img

10.编写IAT表 IMAGE_THUNK_DATA32
  • 文件偏移+0x9C，PIMAGE_IMPORT_BY_NAME AddressOfData→指向IMAGE_IMPORT_BY_NAME：0x0000000A
    • 因为IMAGE_IMPORT_BY_NAME结构体的指向函数名的NAME成员前还有一个WORD Hint成员，所以指向的地址需要跳过一个WORD 2字节，以实现NAME指向函数名。
  • 文件偏移+0xA0，以全0作结尾项：0x00000000

  • img

11.将导入表位置写入数据目录中
  • 文件偏移+0x80，DataDirectory[1]导入表位置：0x000000B0

  • img

  • OD检测：内存窗口中跟随地址0x40009C，以"长型→地址"方式查看，可见导入成功。

  • img

12.编写汇编指令：获取MessageBoxA函数地址并传参调用
  • 文件偏移+0x60，在选项头的堆栈空间值区编写弹框文本："hello world"

  • img

  • *选线头主版本号不可用，故以副链接器版本号成员处（0x1F）开始非重要区域编写指令：
  • 文件偏移+0x1F，参数4 UINT uType→对话框按钮类型：6A 00 = push 0（注3）
  • 文件偏移+0x21，参数3 LPCTSTR lpCaption→消息框标题：6A 00 = push 0
  • 文件偏移+0x23，参数2 LPCTSTR lpText→消息框内容，指向"hello world"：68 64004000 = push 00400064
  • 文件偏移+0x25，参数1 HWND hWnd→窗口句柄：6A 00 = push 0
  • 文件偏移+0x2A，短跳至空闲区以备调用函数：EB18= jmp short 00400044
  • 文件偏移+0x44，从IAT表中获取API地址并调用：FF15 9C004000= CALL 0040009C
  • 文件偏移+0x4A，调用后返回：C3=ret

  • img

14.修改OEP
  • 文件偏移+0x44，OEP：FF15 9C004000= CALL 0040009C

  • img

15.完整PE总览

  • img

操作

  • img

img

img

修改导入表,导入表占 20字节 但前面 12个字节都没用

img

上述操作之后的代码

img

点击运行发现报错,说明我们的代码有问题

img

用OD 查看,发现导入函数并没有加载进来,说明我们的导入表构件的有问题

img

初步检查发现如下错误

img

继续寻找错误并把没用的数据用CC填充

img

img

还是有错误,继续寻找

img

img

继续找错误

img

再到OD去看,可以看到函数已经加载进来了

img

img

说明我们格式已经对了,接下来就是写代码了

函数入口点,之所以跳到 64,因此哪里空间多一点,可以写代码

img

img

img

img

运行发现只有标题没有内容,怀疑可能是栈被破坏了

img

有一个标志 Win32VersionValue ,xp必须为0,win7 和win10不用管

img

点击发现功能实现了

img

img

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000000   4D 5A CC CC 50 45 00 00  4C 01 01 00 75 73 65 72   MZ烫PE  L   user
00000010   33 32 2E 64 6C 6C 00 CC  80 00 0F 01 0B 01 4D 65   32.dll 虁     Me
00000020   73 73 61 67 65 42 6F 78  41 00 CC CC 30 00 00 00   ssageBoxA 烫0   
00000030   6A 00 EB 30 CC CC CC CC  00 00 40 00 04 00 00 00   j ?烫烫  @   
00000040   04 00 00 00 CC CC CC CC  CC CC CC CC 04 00 CC CC       烫烫烫烫  烫
00000050   00 00 00 00 00 10 00 00  C4 00 00 00 CC CC CC CC           ?  烫烫
00000060   02 00 00 00 68 0C 00 40  00 68 1E 00 40 00 6A 00       h  @ h  @ j 
00000070   FF 15 B8 00 40 00 C3 CC  04 00 00 00 00 00 00 00    ?@ 锰      
00000080   00 00 00 00 90 00 00 00  CC CC CC CC 00 00 00 00       ?  烫烫  
00000090   00 00 00 00 00 00 00 00  00 00 00 00 0C 00 00 00                 
000000A0   B8 00 00 00 C4 00 00 00  00 00 00 00 C4 00 00 00   ?  ?      ?  
000000B0   00 00 00 00 00 00 00 00  1C 00 00 00 00 00 00 00                 
000000C0   40 00 00 C0                                        @

还可以继续减少大小

因为系统准备内存会在里面填充0 , 因为后面的0可以全部删除 ,又因为 第一个节就算不给属性系统也会自动给,所以也可以不要

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000000   4D 5A CC CC 50 45 00 00  4C 01 01 00 75 73 65 72   MZ烫PE  L   user
00000010   33 32 2E 64 6C 6C 00 CC  80 00 0F 01 0B 01 4D 65   32.dll 虁     Me
00000020   73 73 61 67 65 42 6F 78  41 00 CC CC 30 00 00 00   ssageBoxA 烫0   
00000030   6A 00 EB 30 CC CC CC CC  00 00 40 00 04 00 00 00   j ?烫烫  @   
00000040   04 00 00 00 CC CC CC CC  CC CC CC CC 04 00 CC CC       烫烫烫烫  烫
00000050   00 00 00 00 00 10 00 00  C4 00 00 00 CC CC CC CC           ?  烫烫
00000060   02 00 00 00 68 0C 00 40  00 68 1E 00 40 00 6A 00       h  @ h  @ j 
00000070   FF 15 B8 00 40 00 C3 CC  04 00 00 00 00 00 00 00    ?@ 锰      
00000080   00 00 00 00 90 00 00 00  CC CC CC CC 00 00 00 00       ?  烫烫  
00000090   00 00 00 00 00 00 00 00  00 00 00 00 0C 00 00 00                 
000000A0   B8 00 00 00 C4 00 00 00  00 00 00 00 C4 00 00 00   ?  ?      ?  
000000B0   00 00 00 00 00 00 00 00  1C

注意上面的可执行程序在 win10 无法运行,因为win10检查比较严格

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2334294.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

并发编程--互斥锁与读写锁

并发编程--互斥锁与读写锁

并发编程–互斥锁与读写锁 文章目录 并发编程--互斥锁与读写锁1. 基本概念2. 互斥锁2.1 基本逻辑2.2 函数接口2.3示例代码12.4示例代码2 3. 读写锁3.1 基本逻辑3.2示例代码 1. 基本概念 互斥与同步是最基本的逻辑概念： 互斥指的是控制两个进度使之互相排斥&#x…
阅读更多...
记录第一次使用H5的WebBluetooth完成蓝牙标签打印机的（踩坑）过程

记录第一次使用H5的WebBluetooth完成蓝牙标签打印机的（踩坑）过程

第1步 首先第一步，调试环境必须是https的，由于浏览器的强制安全策略，本地可以采用localhost 第2步 然后，如果打印需要服务UUID（Service UUID） 和 特征UUID（Characteristic UUID）&…
阅读更多...
【WRF理论第十七期】单向/双向嵌套机制（含namelist.input详细介绍）

【WRF理论第十七期】单向/双向嵌套机制（含namelist.input详细介绍）

WRF运行的单向/双向嵌套机制 准备工作：WRF运行的基本流程namelist.input的详细设置&time_control 设置&domain 嵌套结构&bdy_control 配置部分 namelist 其他注意事项Registry.EM 运行 ARW 嵌套双向嵌套（two-way nesting）Moving …
阅读更多...
React 学习 JSX

React 学习 JSX

APP根组件被index.js渲染到public下的index.html下 JS中写 HTML 代码 渲染列表 条件渲染 复杂条件渲染 事件绑定 传递自定义参数 button标签中写箭头函数引用的格式 自定义参数和事件本身对象都想要的情况
阅读更多...
大模型论文：Language Models are Few-Shot Learners(GPT3)

大模型论文：Language Models are Few-Shot Learners(GPT3)

大模型论文：Language Models are Few-Shot Learners(GPT3) 文章地址：https://proceedings.neurips.cc/paper_files/paper/2020/file/1457c0d6bfcb4967418bfb8ac142f64a-Paper.pdf 一、摘要 我们证明了，扩大语言模型的规模在任务无关的 few…
阅读更多...
一周学会Pandas2 Python数据处理与分析-Pandas2数据导出

一周学会Pandas2 Python数据处理与分析-Pandas2数据导出

锋哥原创的Pandas2 Python数据处理与分析 视频教程： 2025版 Pandas2 Python数据处理与分析 视频教程(无废话版) 玩命更新中~_哔哩哔哩_bilibili 任何原始格式的数据载入DataFrame后，都可以使用类似 DataFrame.to_csv()的方法输出到相应格式的文件或者…
阅读更多...
深入解析栈式虚拟机与反向波兰表示法

深入解析栈式虚拟机与反向波兰表示法

1.1 什么是虚拟机？ 虚拟机（Virtual Machine, VM）是一种软件实现的计算机系统，提供与物理计算机相类似的环境，但在软件层面运行。虚拟机的存在简化了跨平台兼容性、资源管理以及安全隔离等问题。 1.2 栈式虚拟机的架构…
阅读更多...
学习MySQL的第八天

学习MySQL的第八天

海到无边天作岸 山登绝顶我为峰 一、数据库的创建、修改与删除 1.1 引言 在经过前面七天对于MySQL基本知识的学习之后，现在我们从基本的语句命令开始进入综合性的语句的编写来实现特定的需求，从这里开始需要我们有一个宏观的思想&…
阅读更多...
AI识别与雾炮联动：工地尘雾治理新途径

AI识别与雾炮联动：工地尘雾治理新途径

利用视觉分析的AI识别用于设备联动雾炮方案 背景 在建筑工地场景中，人工操作、机械作业以及环境因素常常导致局部出现大量尘雾。传统监管方式存在诸多弊端，如效率低、资源分散、监控功能单一、人力效率低等，难以完美适配现代工程需求。例如…
阅读更多...
GD32F303-IAP的过程和实验

GD32F303-IAP的过程和实验

使用的芯片为GD32F303VC 什么是IAP呢？有个博主写的很清楚；就是远程升级； 【单片机开发】单片机的烧录方式详解（ICP、IAP、ISP）_isp烧录-CSDN博客 我们需要写一个boot 和APP 通过 boot对APP的程序进行更新&#xf…
阅读更多...
众趣科技助力商家“以真示人”，让消费场景更真实透明

众趣科技助力商家“以真示人”，让消费场景更真实透明

在当今的消费环境中，消费者权益保护问题日益凸显。无论是网购商品与实物不符、预定酒店民宿与图文描述差异大，还是游览景区遭遇“照骗”，这些问题不仅让消费者在消费和决策过程中倍感困扰，也让商家面临信任危机。 消费者在享受便…
阅读更多...
spark core编程之行动算子、累加器、广播变量

spark core编程之行动算子、累加器、广播变量

一、RDD 行动算子 reduce：聚集 RDD 所有元素，先聚合分区内数据，再聚合分区间数据。 collect：在驱动程序中以数组形式返回数据集所有元素。 foreach：分布式遍历 RDD 元素并调用指定函数。 count：返回 RDD…
阅读更多...
提高课：数据结构之树状数组

提高课：数据结构之树状数组

1&#xff0c;楼兰图腾 #include<iostream> #include<cstring> #include<cstdio> #include<algorithm>using namespace std;typedef long long LL;const int N 200010;int n; int a[N]; int tr[N]; int Greater[N], lower[N];int lowbit(int x) {ret…
阅读更多...
基于javaweb的SpringBoot新闻视频发布推荐评论系统（源码+部署文档）

基于javaweb的SpringBoot新闻视频发布推荐评论系统（源码+部署文档）

技术范围&#xff1a;SpringBoot、Vue、SSM、HLMT、Jsp、PHP、Nodejs、Python、爬虫、数据可视化、小程序、安卓app、大数据、物联网、机器学习等设计与开发。 主要内容&#xff1a;免费功能设计、开题报告、任务书、中期检查PPT、系统功能实现、代码编写、论文编写和辅导、论文…
阅读更多...
机器学习之PCA主成分分析详解

机器学习之PCA主成分分析详解

文章目录 引言一、PCA的概念二、PCA的基本数学原理2.1 内积与投影2.2 基2.3 基变换2.4 关键问题及优化目标2.5 方差2.6 协方差2.7 协方差矩阵2.8 协方差矩阵对角化 三、PCA执行步骤总结四、PCA计算实例五、PCA参数解释六、代码实现七、PCA的优缺点八、总结 引言 在机器学习领域…
阅读更多...
回溯——固定套路 | 面试算法12道

回溯——固定套路 | 面试算法12道

目录 输出二叉树所有路径 路径总和问题 组合总和问题 分割回文串 子集问题 排列问题 字母大小写全排列 单词搜索 复原IP地址 电话号码问题 括号生成问题 给我一种感觉是回溯需要画图思考是否需要剪枝。 元素个数n相当于树的宽度&#xff08;横向&#xff09;&#x…
阅读更多...
Maven和MyBatis学习总结

Maven和MyBatis学习总结

目录 Maven 1.Maven的概念&#xff1a; 2.在具体的使用中意义&#xff1a; 3.与传统项目引入jar包做对比&#xff1a; 传统方式&#xff1a; 在maven项目当中&#xff1a; 4.在创建maven项目后&#xff0c;想要自定义一些maven配置 5.maven项目的结构 6.maven指令的生…
阅读更多...
AndroidTV 当贝播放器-v1.5.2-官方简洁无广告版

AndroidTV 当贝播放器-v1.5.2-官方简洁无广告版

AndroidTV 当贝播放器 链接&#xff1a;https://pan.xunlei.com/s/VONXRf0g3cT0ECVt6GEsoODFA1?pwds4qv# AndroidTV 当贝播放器-v1.5.2-官方简洁无广告版
阅读更多...
Python生成exe

Python生成exe

其中的 -w 参数是 PyInstaller 用于窗口模式&#xff08;Windowed mode&#xff09;&#xff0c;它会关闭命令行窗口的输出&#xff0c;这通常用于 图形界面程序&#xff08;GUI&#xff09;&#xff0c;比如使用 PyQt6, Tkinter, PySide6 等。 所以&#xff1a; 如果你在没有…
阅读更多...
MySql 自我总结

MySql 自我总结

目录 1. 数据库约束 1.1约束类型 2. 表的设计 2.1 一对一 2.2 一对多 2.3 多对多 3. 新增 4. 查询 4.1 聚合查询 4.2 GROUP BY 4.3 HAVING 4.4 联合查询 4.5 内连接 4.5.1 内连接的核心概念 4.5.2 内连接的语法 4.5.3 ON 与 WHERE 的区别 4.6 自连接 4.6.1 定…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023