壳的编写（4）-- 进行加壳操作

由于我们在编写壳的部分比较简单，那么我们在编写加壳的过程中难免要复杂些。我们要完成加壳的操作必然会要读取被加壳程序的各种信息，并保存到一个结构中，为了便于后面的操作。还有在操作上只能读取源文件，将加壳后的文件要保存到另外的文件中去。

为此我们在项目Pack_Dll中，我们完成加壳的操作：

1.读取被加壳程序的PE信息

2.对相应的区段进行处理(加密)

3.将壳(Stub)部分添加到加壳程序中

4.加壳操作

5.1. 读取被加壳程序的PE信息
在Pack_Dll.h文件中定义一个结构如下：

// 用来保存壳（Stub）中用到的PE信息

typedef struct _GLOBAL_PARAM
{
BOOL bShowMessage; // 是否显示解密信息
DWORD dwOEP; // 程序入口点
PBYTE lpStartVA; // 起始虚拟地址（被异或加密区）
PBYTE lpEndVA; // 结束虚拟地址（被异或加密区）
}GLOBAL_PARAM, *PGLOBAL_PARAM;

5.2. 对相应的区段进行处理(加密)
给代码区段进行加密，并为其添加可读属性。

void Pretreatment(PBYTE lpCodeStart, PBYTE lpCodeEnd, PE_INFO stcPeInfo)
{
// 1. 加密指定区域
while (lpCodeStart < lpCodeEnd)
{
*lpCodeStart ^= 0x15;
lpCodeStart++;
}

// 2. 给第一个区段附加上可写属性
PDWORD pChara = &(stcPeInfo.pSectionHeader->Characteristics);
*pChara = *pChara | IMAGE_SCN_MEM_WRITE;
}

5.3. 将壳(Stub)部分添加到加壳程序中
我们要想将Stub部分添加到被加壳程序中去，就需要获取到Stub的信息。而我们已经在3.2的操作中将Stub工程产生的Stub.dll做为资源成为了项目Pack_Dll的一部分，那么我们就需要读取生成的Pack_Dll.dll并从中以资源的形式获取到Stub.dll句柄。然后提取Stub部分的关键信息，将Stub作为新的区段添加到被加壳程序中。为此我们还需要进行重定位和修复OEP。

需要添加头文件

#include <stdlib.h>
#include "resource.h" //导入资源
#include "ProcessingPE.h" //PE操作
#include <winuser.h> //资源转换
在Pack_Dll.cpp文件中的Implantation方法中完成即可。
DWORD Implantation(LPVOID &lpFileData, DWORD dwSize, CProcessingPE* pobjPE, 
PE_INFO stcPeInfo, GLOBAL_PARAM stcParam)
{
// 1. 在资源中读取文件内容
HRSRC hREC = NULL; // 资源对象
HGLOBAL hREC_Handle = NULL; // 资源句柄
DWORD dwStubSize = NULL; // 文件大小
LPVOID lpResData = NULL; // 资源数据指针
HMODULE hModule = GetModuleHandle(L"Pack_Dll.dll");
if (!(hREC = FindResource(hModule, MAKEINTRESOURCE(IDR_STUB1), L"STUB"))) return false;
if (!(hREC_Handle = LoadResource(hModule, hREC))) return false;
if (!(lpResData = LockResource(hREC_Handle))) return false;
if (!(dwStubSize = SizeofResource(hModule, hREC))) return false;

// 2. 提取Stub部分的关键信息
CProcessingPE objProcPE;
PE_INFO stcStubPeInfo;
PBYTE lpData = new BYTE[dwStubSize];
// 2.1 将Stub复制到临时缓冲区，防止重复操作
CopyMemory(lpData, lpResData, dwStubSize);
// 2.2 获取Stub的PE信息
objProcPE.GetPeInfo(lpData, dwStubSize, &stcStubPeInfo);
// 2.3 算出代码段的相关信息（默认第一个区段为代码段）
PBYTE lpText = (PBYTE)(stcStubPeInfo.pSectionHeader->PointerToRawData + (DWORD)lpData);
DWORD dwTextSize = stcStubPeInfo.pSectionHeader->SizeOfRawData;

// 3. 添加区段
DWORD dwNewSectionSize = 0;
IMAGE_SECTION_HEADER stcNewSection = { 0 };
PVOID lpNewSectionData = pobjPE->AddSection(L".LiPass", dwTextSize, 
IMAGE_SCN_CNT_CODE | IMAGE_SCN_MEM_READ | IMAGE_SCN_MEM_WRITE | IMAGE_SCN_MEM_EXECUTE, &stcNewSection, &dwNewSectionSize);

// 4. 对Stub部分进行的重定位操作
// 新的加载地址 = (新区段的起始RVA - Stub的".Text"区段的起始RVA) + 映像基址
DWORD dwLoadImageAddr = (stcNewSection.VirtualAddress - stcStubPeInfo.pSectionHeader->VirtualAddress) + stcPeInfo.dwImageBase;
objProcPE.FixReloc(dwLoadImageAddr);

// 5. 写入配置参数
// 5.1 获取Stub的导出变量地址
PVOID lpPatam = objProcPE.GetExpVarAddr(L"g_stcParam");
// 5.2 保存配置信息到Stub中
CopyMemory(lpPatam, &stcParam, sizeof(GLOBAL_PARAM));

// 6. 将Stub复制到新区段中
CopyMemory(lpNewSectionData, lpText, dwTextSize);

// 7. 计算并设置新OEP
DWORD dwNewOEP = 0;
// 7.1 计算新OEP
DWORD dwStubOEP = stcStubPeInfo.dwOEP;
DWORD dwStubTextRVA = stcStubPeInfo.pSectionHeader->VirtualAddress;
DWORD dwNewSectionRVA = stcNewSection.VirtualAddress;
dwNewOEP = (dwStubOEP - dwStubTextRVA) + dwNewSectionRVA;
// 7.2 设置新OEP
pobjPE->SetOEP(dwNewOEP);
pobjPE->SetDLL();

// 8. 释放资源，函数返回
delete[] lpData;
FreeResource(hREC_Handle);
return dwNewSectionSize;
}

5.4. 加壳操作
先读取PE信息，并进行加密处理。然后将壳部分追加到程序中，并保存为新的文件。

在Pack_Dll.cpp文件中的Pack方法中完成即可。

BOOL Pack(CString strPath)
{
CProcessingPE objProcPE; // PE处理对象
PE_INFO stcPeInfo; // PE信息

HANDLE hFile_In;
HANDLE hFile_Out;
DWORD dwFileSize;
LPVOID lpFileImage;
WCHAR szOutPath[MAX_PATH] = { 0 };

// 1. 生成输出文件路径
LPWSTR strSuffix = PathFindExtension(strPath); // 获取文件的后缀名
wcsncpy_s(szOutPath, MAX_PATH, strPath, wcslen(strPath)); // 备份目标文件路径到szOutPath
PathRemoveExtension(szOutPath); // 将szOutPath中保存路径的后缀名去掉
wcscat_s(szOutPath, MAX_PATH, L"_Pack"); // 在路径最后附加“_Pack”
wcscat_s(szOutPath, MAX_PATH, strSuffix); // 在路径最后附加刚刚保存的后缀名

// 2. 获取文件信息，并映射进内存中
if (INVALID_HANDLE_VALUE == (hFile_In = CreateFile(strPath, GENERIC_READ, FILE_SHARE_READ,
NULL, OPEN_EXISTING, 0, NULL)))
{
return false;
}
if (INVALID_FILE_SIZE == (dwFileSize = GetFileSize(hFile_In, NULL)))
{
CloseHandle(hFile_In);
return false;
}
if (!(lpFileImage = VirtualAlloc(NULL, dwFileSize * 2, MEM_COMMIT, PAGE_READWRITE)))
{
CloseHandle(hFile_In);
return false;
}
DWORD dwRet;
if (!ReadFile(hFile_In, lpFileImage, dwFileSize, &dwRet, NULL))
{
CloseHandle(hFile_In);
VirtualFree(lpFileImage, 0, MEM_RELEASE);
return false;
}

// 3. 获取PE文件信息
objProcPE.GetPeInfo(lpFileImage, dwFileSize, &stcPeInfo);

// 4. 获取目标文件代码段的起始结束信息
// 读取第一个区段的相关信息，并将其加密（默认第一个区段为代码段）
PBYTE lpStart = (PBYTE)(stcPeInfo.pSectionHeader->PointerToRawData + (DWORD)lpFileImage);
PBYTE lpEnd = (PBYTE)((DWORD)lpStart + stcPeInfo.pSectionHeader->SizeOfRawData);
PBYTE lpStartVA = (PBYTE)(stcPeInfo.pSectionHeader->VirtualAddress + stcPeInfo.dwImageBase);
PBYTE lpEndVA = (PBYTE)((DWORD)lpStartVA + stcPeInfo.pSectionHeader->SizeOfRawData);

// 5. 对文件进行预处理
Pretreatment(lpStart, lpEnd, stcPeInfo);

// 6. 植入Stub
DWORD dwStubSize = 0;
GLOBAL_PARAM stcParam = { 0 };
stcParam.dwOEP = stcPeInfo.dwOEP + stcPeInfo.dwImageBase;
stcParam.lpStartVA = lpStartVA;
stcParam.lpEndVA = lpEndVA;
dwStubSize = Implantation(lpFileImage, dwFileSize, &objProcPE, stcPeInfo, stcParam);

// 7. 将处理完成后的结果写入到新文件中
if (INVALID_HANDLE_VALUE != (hFile_Out = CreateFile(szOutPath, GENERIC_WRITE | GENERIC_READ, FILE_SHARE_WRITE | FILE_SHARE_READ, NULL, OPEN_ALWAYS, 0, NULL)))
{
DWORD dwRet = 0;
WriteFile(hFile_Out, lpFileImage, dwStubSize + dwFileSize, &dwRet, NULL);
}

// 8. 释放相关资源并返回
CloseHandle(hFile_In);
CloseHandle(hFile_Out);
VirtualFree(lpFileImage, 0, MEM_RELEASE);
return true;
}

六编写界面
在Pack BaseDlg.cpp文件中进行完善即可。

#include "../Pack_Dll/Pack_Dll.h"
#ifdef _DEBUG
#pragma comment(lib, "../Debug/Pack_Dll.lib")
#else
#pragma comment(lib, "../Release/Pack_ Dll.lib")
#endif

void CPackBaseDlg::OnBnClickedButton2()
{
UpdateData(true);
//MessageBox(m_pathStr, m_pathStr, 0);

if (!Pack(m_pathStr))
{
MessageBox(L"加密失败-_-!");
}
else
{
MessageBox(L"加密成功！");
}
}

七运行结果如下
在使用静态编译的时候，要是以Release版本进行输出的时候，一定要将Stub项目的输出目录进行更改回去。

由于之前一直使用Debug方式进行调试，使用Release版后，需要将Pack_Dll项目中Pack_Dll.rc的资源路径进行修改，将Debug修改成Release即可

————————————————
版权声明：本文为CSDN博主「布衣僧」的原创文章，遵循CC 4.0 by-sa版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/oBuYiSeng/article/details/50528622