关闭程序基地址改变

Posted 2021-01-31 fengxing999

   Windows vista开始有动态基地址的功能，只要pe头Dll Characteristics有0x40每次加载时基地址都不一样。

相应的IDE，比如VS，也支持动态基址的功能。

1 在VS自己编写的程序中关闭基址改变属性：

  ①vs中右键项目 -> 属性 -> 链接器 -> 命令行：去掉/DYNAMICBASE加上/FIXED
 #pragma comment(linker,"/BASE:0x500000")   (在vs2017中测试发现只用②就实现了基址固定)

  ②vs中，右键项目 -> 属性 -> 链接器 -> 高级 -> 随机基址：否

2 逆向已写完的程序，使其基址固定：

去掉IMAGE_OPTIONAL_HEADER.DllCharacteristics的IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE

定位到DllCharacteristics后用位运算

 

win7下动态获取基址的函数：

void C获得基址Dlg::OnBnClickedButton1()
{
　　CString strCaption;
　　GetDlgItemText(IDC_EDIT1,strCaption);
　　HWND hwnd=::FindWindow(NULL,strCaption);
　　DWORD Pid;
　　::GetWindowThreadProcessId(hwnd,&Pid);
　　DWORD dwBaseAddr=GetBaseAddr(Pid);
　　strCaption.Format(_T("0x%X"),dwBaseAddr);
　　SetDlgItemText(IDC_EDIT1,strCaption);
}
DWORD GetBaseAddr(DWORD pid)
{
　　HANDLE hModuleSnap=CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,pid);
　　if (hModuleSnap==INVALID_HANDLE_VALUE)
　　{
　　　　AfxMessageBox(_T("创建进程模块失败！"));
　　}
　　MODULEENTRY32 me;
　　me.dwSize=sizeof(MODULEENTRY32);
　　Module32First(hModuleSnap,&me);
　　DWORD dwBaseAddr;
　　dwBaseAddr=(DWORD)me.modBaseAddr;
　　CloseHandle(hModuleSnap);
　　return dwBaseAddr;
}

 

参考：http://msdn.microsoft.com/zh-cn/library/f7f5138s.aspx

            http://msdn.microsoft.com/zh-cn/library/microsoft.visualstudio.vcprojectengine.vclinkertool.baseaddress.aspx