第25章:通过修改PE加载DLL

Posted 2020-12-18 rev-omi

前面的代码没有什么特别的意义,了解即可.需要注意的是dummy这段代码.

 

 前面的代码主要是为了执行想要的功能,在一加载DLL时就能执行.而dummy()函数是为了保证此DLL文件能够顺利的添加到TextView.exe文件的导入表中(然后由程序在执行时会加载此DLL文件).

PE文件中的IDT(Image_Directory_Table)存储在可选头的后半段.

故得地址为:84cc,大小为64.看节区头,可以发现它在第二节区.计算一下: 84CC - 6000 + 5200 = 76CC.

14H字节一个结构体.

 

第一个IID结构体为Kernel32.dll,   86BC - 6000 + 5200 = 78BC:

移动 IID 有三种方式: 1. 查找文件中的空白区域.        2. 增加文件最后一个节区的大小.        3.在文件末尾添加新节区.

首先尝试第一种方法:第二节区的末尾有空余,

 

注意修改好以后一定要改相关节区的属性,因为在加载PE文件到内存时,PE装载器会修改IAT,写入函数的实际地址.

所以需要给该节区加上可写权限.同时也要修改 Import Directory 的地址.

之前能成功是因为IAT在可选头中,该段地址默认可写,因此也可以只修改IAT的SIze字段来实现:

 

同时注意将绑定导入表(提高DLL加载的速度)信息置0,如果不存在本身不影响但如果存在,自己却修改了IAT,则会出现错误.