使用VC自己动手编写加壳程序
![使用VC自己动手编写加壳程序](https://img.360docs.net/imgb3/1kzsv9auxza34jbyd0m9r5wwzf1b7og6-31.webp)
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
使用V C自己动手编写加壳程序
阅读对象:想写壳的新手。高手掠过,本文仅限于写壳入门。
基本要求:了解VC++6.0基本使用方法;了解PE格式,不熟悉的地方能够通过查阅资料弄
懂;
(1)生成界面,完成文件操作
主要内容:生成界面,完成打开文件对话框。
首先说一下写作原因。最初学习加壳技术,网上确实能找到一些源代码,但90%的没有注释,所以很多代码都看不懂。即使某个函数大体功能知道,但其中的小细节由于没有注释,也不知道作者的用途是什么,所以这一过程相当痛苦。当时对于我来说,一个简单的加壳程序也是相当复杂。有时候想修改他们的程序,但程序结构牵一发而动全身,不得不放弃。有些程序前面90%的代码都在做铺垫和打基础,而最后的10%是合并功能,往往我们在分析前面的90%中的20%就没有耐心了,因为铺垫太多,让我们感觉没有成就感,感觉不到那么多代码是干嘛的。所以本文在写作时,每一部分都会实实在在的实现一部分功能,让我们有些成就感,这样才有兴趣。写此文是给像我一样想写壳却无从下手的人一个参考。不过本人现在也是研究阶段,能力有限,文章一方面是总结一下自己,另一方面也希望和大家多多交流。
壳的理论我就不多说了。一开始就说一大堆理论同样会使学习失去兴趣,我就喜欢边动手边理论。开始吧。
打开VC++6.0,新建工程,工程名称“PEPacker”,选择“MFC AppWizard(exe)”,下一步,选择基于对话框的应用程序。在对话框中删除默认的“确定”、“取消”按钮,还有默认的文本信息。如下图所示:
然后按F7组建(编译)程序,可以从IDE的提示窗口中看到是否生成成功,按CTRL+F5程序是能够正常运行的,不过是一个什么都没有的对话框。现在我们要添加元素了。
添加两个组框、一个编辑框、三个按钮、一个Rich编辑框。现在修改其属性。
在对话框上点击右键,选择“属性”,打开属性对话框,在对话框的左上角有个像钉子一样的图标,点击一下,这样属性对话框就会像钉子一样保持可见了,我们就不需要每修改一个控件属性的时候就点一下右键选择了。
修改属性后的控件ID和标题如下:
设置好的界面如下图所示:
现在按F7编译,CTRL+F5运行一下,发现程序好没有动静。什么反应也没有,如果把RichEdit删除掉,再编译,再运行就可以。
这个问题是由于RichEidt没有初始化引起的,微软的说法是要在APP的初始化函数中加入初始化函数:AfxInitRichEdit()。那我们现在加入。
在classview视图中,展开CPEPackerApp类,双击InitInstance()函数,在AfxEnableControlContainer();后面添加代码?AfxInitRichEdit();,添加后的函数代码如下:
BOOL CPEPackerApp::InitInstance()
{
AfxEnableControlContainer();
AfxInitRichEdit();
// Standard initialization
// If you are not using these features and wish to reduce the size
// of your final executable, you should remove from the following
// the specific initialization routines you do not need.
此时再F7编译,CTRL+F5运行,就可以看到程序正常运行了。
再修改一下对话框的属性,右键,选择“属性”后,在“样式”标签中,勾选上“最小化框[N]”,这样对话框就可以最小化了。当然你还可以选择其它属性。
现在来添加成员变量。在编辑框上点击右键,选择“建立类向导……”,打开类向导对话框,然后选择“Member Variables”标签。
注意Project:里面是否是PEPacker,Class name:里面是否是CPEPackerDlg,然后在Control IDs:里面找到IDC_EDIT_FILEPATHNAME,双击。或者点击右边的“Add Varible...”按钮,在“Add Member Varible”对话框中添加成员变量。变量名为"m_FilePathNa me”,
Category选择"Value”,变量类型选择"CString”,然后确定。用同样的方法给控件
IDC_RICHEDIT_PROCINFO添加成员变量。变量名为m_RichEditProcInfo,注意category 选择Control,变量类型为CRichEditCtrl。最后确定。
双击“选择文件”按钮,弹出添加程序函数对话框,函数名你为:OnButtonOpenfile,我们确定即可,使用默认的,当然也可以修改。此时来到了PEPackerDlg.cpp文件中,界面默认的位置是刚刚添加的函数编辑处。代码如下:
void CPEPackerDlg::OnButtonOpenfile()
{
// TODO: Add your control notification handler code here
}
此时在此函数中添加如下代码:代码我会作注释。
void CPEPackerDlg::OnButtonOpenfile()
{
// TODO: Add your control notification handler code here
//设置文件过滤,默认打开哪些文件类型,最后“||”结束。
char szFilter[]="可执行文件(*.exe)|*.exe|全部文件(*.*)|*.*||";
//通过查阅MSDN,了解CFileDialog中构造函数的用法。
//第一个参数为TRUE,表示打开文件对话框;为FALSE,表示保存对话框。
//其他详细参数说明见后面。
CFileDialog
dlg(TRUE,NULL,NULL,OFN_HIDEREADONLY|OFN_OVERWRITEPROMPT,szFilter,NULL) ;
//通过模态对话框显示文件对话框
if (dlg.DoModal()==IDOK)
{
//获取文件路径
m_FilePathName=dlg.GetPathName();
//设置RICHEDIT内容
//将指针设置到编辑框最后
m_RichEditProcInfo.SetSel(-1,-1);
//替换编辑框最后的内容,实际上就是在最后添加内容。
m_RichEditProcInfo.ReplaceSel("文件路径:");
m_RichEditProcInfo.ReplaceSel(m_FilePathName);
//用获取的文件路径更新编辑框内容。
UpdateData(FALSE);
}
}
添加完成后,本次功能结束。编译运行即可,运行界面如下:
其中CFileDialog类的详细说明如下:
CFileDialog文件选择对话框的使用:首先构造一个对象并提供相应的参数,构造函数原型如下:
CFileDialog::CFileDialog( BOOL bOpenFileDialog, LPCTSTR lpszDefExt = NULL, L PCTSTR lpszFileName = NULL, DWORD dwFlags = OFN_HIDEREADONLY | OFN_OVE RWRITEPROMPT, LPCTSTR lpszFilter = NULL, CWnd* pParentWnd = NULL );参数意义如下:
bOpenFileDialog 为TRUE则显示打开对话框,为FALSE则显示保存对话文件对话框。
lpszDefExt 指定默认的文件扩展名。
lpszFileName 指定默认的文件名。
dwFlags 指明一些特定风格。
lpszFilter 是最重要的一个参数,它指明可供选择的文件类型和相应的扩展名。参数格式如:
"Chart Files (*.xlc)|*.xlc|Worksheet Files (*.xls)|*.xls|Data Files (*.xlc;*.xls)|*. xlc; *.xls|All Files (*.*)|*.*||";文件类型说明和扩展名间用 | 分隔,同种类型文件的扩展名间可以用 ; 分割,每种文件类型间用 | 分隔,末尾用 || 指明。
pParentWnd 为父窗口指针。
创建文件对话框可以使用DoModal(),在返回后可以利用下面的函数得到用户选择:
CString CFileDialog::GetPathName( ) 得到完整的文件名,包括目录名和扩展名如:c: est est1.txt
CString CFileDialog::GetFileName( ) 得到完整的文件名,包括扩展名如:test1.txt
CString CFileDialog::GetExtName( ) 得到完整的文件扩展名,如:txt
CString CFileDialog::GetFileTitle ( ) 得到完整的文件名,不包括目录名和扩展名如:test1
POSITION CFileDialog::GetStartPosition( ) 对于选择了多个文件的情况得到第一个文件位置。
CString CFileDialog::GetNextPathName( POSITION& pos ) 对于选择了多个文件的情况得到下一个文件位置,并同时返回当前文件名。但必须已经调用过
POSITION CFileDialog::GetStartPosition( )来得到最初的POSITION变量。
(2)使用内存映射生成文件
主要内容:打开文件,使用内存映射生成文件。
本次要完成的任务是:点击“开始加壳”按钮,生成加壳后的文件,当然这是假想加过壳,并没有加壳。实际上就是将文件改名,复制成另外一个文件,但又不同于复制。因为是先将文件创建内存映射,然后再通过映射指针写回文件。
本次的界面效果:
首先添加几个和文件名相关的成员变量。在classview中,双击PEPackerDlg函数,在类的定义中申明成员变量:
public:
CString m_FilePathNamePacked; //加壳后的文件名
下面来添加“开始加壳”按钮的函数。在“开始加壳”按钮上双击,将出现新建函数的提示,确定即可。也可以点击工具栏上的“查看”菜单,选择“建立类向导”,选中“Message Maps”标签。Project:设置为PEPacker,Class name:设置为CPEPackerDlg,Object IDs选中
IDC_BUTTON_PACKING,Messages:选中BN_CLICKED,然后点击右边的“Add Function...”按钮,添加函数“OnButtonPacking”即可。
空的函数为:
void CPEPackerDlg::OnButtonPacking()
{
// TODO: Add your control notification handler code here
}
现在在该函数中添加内容。代码部分我都做了注释,所以我就不多说了。
void CPEPackerDlg::OnButtonPacking()
{
// TODO: Add your control notification handler code here
HANDLE hFile; //文件句柄
HANDLE hMapping; //文件映射句柄
LPVOID lpHeadBase; //创建映射的头指针
DWORD dwFileSize; //文件大小
DWORD dwBufferRead; //实际读取字节
//打开文件
hFile=CreateFile(m_FilePathName,GENERIC_READ,FILE_SHARE_READ,NULL,
OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
//如果文件打开失败,就弹出对话框,并返回。
if (hFile==INVALID_HANDLE_VALUE)
{
MessageBox("打开文件失败!","错误提示",MB_OK);
return;
}
//获取文件大小
dwFileSize=GetFileSize(hFile,NULL);
//设定加壳后的文件名,我采取了一个偷懒的简单方法。
//如果要严格做,需要获取文件路径,扩展名等等。
m_FilePathNamePacked=m_FilePathName.Left(m_FilePathName.GetLength()-4 )+"_packed.exe";
//创建文件映射。如果对文件映射不了解,请自行查阅相关资料。
hMapping=CreateFileMapping(hFile,NULL,PAGE_READONLY,0,0,NULL);
//如果创建映射失败,弹出对话框,并关闭文件句柄,然后返回。
if (hMapping==NULL)
{
MessageBox("创建文件映射失败!","错误提示",MB_OK);
CloseHandle(hFile); //关闭创建的文件句柄
return;
}
//将文件映射对象映射到当前应用程序的地址空间中
lpHeadBase=MapViewOfFile(hMapping,FILE_MAP_READ,0,0,0);
if (lpHeadBase==NULL)
{
MessageBox("文件映射地址失败!","错误提示",MB_OK);
CloseHandle(hMapping); //关闭映射句柄
CloseHandle(hFile); //关闭文件句柄
return;
}
//创建加壳后的文件句柄
hFile=CreateFile(m_FilePathNamePacked,GENERIC_READ|GENERIC_WRITE,FIL E_SHARE_READ|FILE_SHARE_WRITE,
NULL,CREATE_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL);
if (hFile==INVALID_HANDLE_VALUE)
{
MessageBox("生成文件失败!","错误提示!",MB_OK);
}
//写入文件
if (!WriteFile(hFile,lpHeadBase,dwFileSize,&dwBufferRead,NULL)) {
MessageBox("写入文件失败!","错误提示!",MB_OK);
//卸载文件映射,关闭文件句柄
UnmapViewOfFile(lpHeadBase);
CloseHandle(hMapping);
CloseHandle(hFile);
return;
}
//卸载文件映射,关闭文件句柄
UnmapViewOfFile(lpHeadBase);
CloseHandle(hMapping);
CloseHandle(hFile);
//在编辑框中显示信息
m_RichEditProcInfo.ReplaceSel("文件加壳完成!\r\n");
MessageBox("创建文件成功!","成功提示",MB_OK);
}
针对于上次还要修改的地方:
打开对话框资源,修改RichEdit的属性,勾选“多行”和“自动垂直滚动”,去掉“自动水平滚动”。
在OnButtonOpenfile() 函数中,在代码
//替换编辑框最后的内容,实际上就是在最后添加内容。
m_RichEditProcInfo.ReplaceSel("文件路径:");
m_RichEditProcInfo.ReplaceSel(m_FilePathName);
的后面添加:
m_RichEditProcInfo.ReplaceSel("\r\n");
(3)检测文件格式
主要内容:检测文件格式(是否为PE格式的EXE文件)
本次的主要内容为检测文件是否为PE格式,且是否为EXE文件。DLL等文件也是PE格式,但其加壳的一些数据处理方式不一样,最明显的一个差别就是DLL文件需要重定位。本系统现在暂时只处理EXE可执行文件。
截图效果:(在RichEdit中多了个文件格式提示)
首先添加一个成员函数:IsPe,用来判断文件格式。如果满足就返回TRUE,否则返回FALSE。
在classview视图中,找到CPEPackerDlg类,在其上面点击右键,选择“Add member Function...”,函数类型为BOOL,函数描述为IsPE(HANDLE hFile),Access为public,然后确定,编辑此函数。
//检测文件是否是PE可执行文件格式
BOOL CPEPackerDlg::IsPE(HANDLE hFile)
{
WORD wTemp; //暂存读取的字节
DWORD dwBufferRead; //实际读取的字节数
DWORD dwOffset; //PE头偏移位置
DWORD dwOEP; //程序OEP
//读取MZ标志
SetFilePointer(hFile,0,NULL,FILE_BEGIN);
ReadFile(hFile,&wTemp,2,&dwBufferRead,NULL); //因为二进制目标文件反着顺序存储,所以要反过来判断。 if (wTemp!='ZM')
{
return FALSE;
}
//读取PE头位置
SetFilePointer(hFile,0x3C,NULL,FILE_BEGIN);
ReadFile(hFile,&dwOffset,4,&dwBufferRead,NULL); //读取PE头信息
SetFilePointer(hFile,dwOffset,NULL,FILE_BEGIN); ReadFile(hFile,&wTemp,2,&dwBufferRead,NULL); //判断是否为PE,同样要反着判断。
if (wTemp!='EP')
{
return FALSE;
}
//获取文件OEP
SetFilePointer(hFile,dwOffset+0x28,NULL,FILE_BEGIN);
ReadFile(hFile,&dwOEP,4,&dwBufferRead,NULL);
//如果OEP为0。
if (!dwOEP)
{
return FALSE;
}
//获取文件特征,判断是exe还是dll文件。
SetFilePointer(hFile,dwOffset+0x16,NULL,FILE_BEGIN);
ReadFile(hFile,&wTemp,2,&dwBufferRead,NULL);
if (wTemp & 0x2000 !=0)
{
return FALSE;
}
return TRUE;
}
最后在OnButtonPacking函数中,运用此函数。将此函数添加在打开文件CreateFile和创建映射之间。
如果文件格式正确,就创建映射;否则,就返回。添加后的代码为:
…………………………
//如果文件打开失败,就弹出对话框,并返回。
if (hFile==INVALID_HANDLE_VALUE)
{
MessageBox("打开文件失败!","错误提示",MB_OK);
return;
}
/////////////////第三次加的内容/////////////////////////////////////////////
//判断文件格式
if (!IsPE(hFile))
{
m_RichEditProcInfo.ReplaceSel("错误提示:文件不是PE格式!\r\n");
MessageBox("文件不是PE可执行文件","错误提示!",MB_OK);
return;
}
//////////////////////////////////////////////////////////////////////////
//获取文件大小
dwFileSize=GetFileSize(hFile,NULL);
//设定加壳后的文件名,我采取了一个偷懒的简单方法。
//如果要严格做,需要获取文件路径,扩展名等等。
m_FilePathNamePacked=m_FilePathName.Left(m_FilePathName.GetLength()-4 )+"_packed.exe";……………………………………
(3)通过分配虚拟内存生成文件
主要内容:给文件分配虚拟内存并载入内存,然后输出加壳后文件。
将PE文件载入内存后再操作有三种方法。第一是通过文件映射的基址,其内容在第二节中已经应用并实现。第二是获取获取文件大小,然后分配相应大小的内存。第三是模拟PE文件的加载机制,根据PE文件的镜像大小分配相应大小的内存,然后将相应的区块载入到对应的虚拟地址空间中。本次内容将使用第三种方式加载文件到内存。
由于PE文件在运行时,对文件中数据的读取都是通过RVA(相对虚拟地址)进行的,如果采用第一种或者第二种方式加载到内存,那么当读取数据的时候,还需要将RVA转换成Offset(文件偏移),这种转换虽然说不麻烦,但如果需要转换的地方较多,有时也会出错,所以本系统的加壳也将采用第二种方式加入到内存。
载入内存用先通过VirtualAlloc函数分配虚拟内存空间,然后通过ReadFile读入到内存。根据PE文件的加载机制,PE文件会按照区段进行载入,每个区段的虚拟地址在区段表中都有说明。
最后的效果图。
首先添加两个成员函数:MemAlloc和MemAllocFree,在class view视图中的CPEPackerDlg类上点击右键,选择“add member function...”。函数类型和说明分别如下:
BOOL MemAlloc(HANDLE hFile); //分配内存
void MemAllocFree(); //释放内存
然后再添加几个成员变量,在class view视图中的CPEPackerDlg类上点击右键,选择“add member variables...”。变量类型和名称如下,Access都选择public。定义的都是指针类型变量。
LPVOID lpVirtualtAlloc; //内存分配指针
PIMAGE_DOS_HEADER pDosHeader; //DOS头指针
PIMAGE_NT_HEADERS pNtHeader; //NT头
PIMAGE_OPTIONAL_HEADER pOptionalHeader; //可选头指针
PIMAGE_SECTION_HEADER pSectionHeader; //区块表指针
此时我们把两个编辑框的属性设置为只读。第一个编辑框设置为只读后,获取文件路径时方便点,如果用户不是通过按钮来选择文件,而是手动输入文件路径,那么就还需要一个判断和获取文
件。所以为了省去这种麻烦,我们干脆设置为只读算了。第二个编辑框本来只输出信息,不需要修改,所以设置为只读。
设置方法。在资源视图中打开该对话框,然后在编辑框的属性中选择“样式”标签,最后面有个“只读”复选框,勾上就行了。
编写代码。MemAlloc函数的代码如下,我都做了注释,就不多说了。
//文件分配虚拟内存
BOOL CPEPackerDlg::MemAlloc(HANDLE hFile)
{
DWORD dwSizeOfImage; //映像大小
DWORD dwSizeOfHeaders; //文件头大小
DWORD dwBufferRead; //文件实际读入大小
DWORD dwOffset; //PE头偏移
char szBuffer[512]; //调试用
DWORD dwNumOfSections; //区段表个数
DWORD i;
//获取文件的映像大小,从PE头中读取。
SetFilePointer(hFile,0x3C,NULL,FILE_BEGIN);
ReadFile(hFile,&dwOffset,4,&dwBufferRead,NULL); //读取PE头位置
SetFilePointer(hFile,dwOffset+0x50,NULL,FILE_BEGIN);
ReadFile(hFile,&dwSizeOfImage,4,&dwBufferRead,NULL);//读取文件映像大小
SetFilePointer(hFile,dwOffset+0x54,NULL,FILE_BEGIN);
ReadFile(hFile,&dwSizeOfHeaders,4,&dwBufferRead,NULL);//读取文件头大小
sprintf(szBuffer,"文件头:%lx,文件头大小:%lx,文件映像大小:%lx\r\n",
dwOffset,dwSizeOfHeaders,dwSizeOfImage);
m_RichEditProcInfo.ReplaceSel(szBuffer);
//分配虚拟内存
//MEM_RESERVE保留分配
//MEM_COMMIT表示提交分配
//申请内存的同时提交分配,具体用法可以参考MSDN。
lpVirtualtAlloc=VirtualAlloc(NULL,dwSizeOfImage,MEM_RESERVE|MEM_COMMIT ,PAGE_READWRITE);
//如果分配失败
if (lpVirtualtAlloc==NULL)
{
return FALSE;
}
//将文件读入到内存中
//首先读取文件头
SetFilePointer(hFile,0,NULL,FILE_BEGIN);
ReadFile(hFile,lpVirtualtAlloc,dwSizeOfHeaders,&dwBufferRead,NULL);
//获取PE文件头相关指针
pDosHeader=(PIMAGE_DOS_HEADER)lpVirtualtAlloc;
pNtHeader=(PIMAGE_NT_HEADERS)(pDosHeader->e_lfanew+(DWORD)pDosH eader);
pOptionalHeader=(PIMAGE_OPTIONAL_HEADER)(&pNtHeader->OptionalHeade r);
//IMAGE_FIRST_SECTION是VC下定义的一个宏,用来获取区段表的头指针
pSectionHeader=IMAGE_FIRST_SECTION(pNtHeader);
//然后分区块进行读入
dwNumOfSections=pNtHeader->FileHeader.NumberOfSections;
for (i=0;i { //将指针设定到每个区块的开始 SetFilePointer(hFile,(pSectionHeader+i)->PointerToRawData,NULL,FILE_BEGIN ); //根据每个区块的原始大小读入到相应的虚拟地址中去。 ReadFile(hFile,(LPVOID)((DWORD)lpVirtualtAlloc+(pSectionHeader+i)->Virtual Address),(pSectionHeader+i)->SizeOfRawData,&dwBufferRead,NULL); }
return TRUE;
}
第二个函数,MemAllocFree主要是释放分配的内存。
void CPEPackerDlg::MemAllocFree()
{
//释放分配的虚拟内存
VirtualFree(lpVirtualtAlloc,0,MEM_DECOMMIT);
VirtualFree(lpVirtualtAlloc,0,MEM_RELEASE);
}
最后在主函数OnButtonPacking中调用分配函数,及释放函数。…………………………………………………………………………………………
/////////////////第三次加的内容/////////////////////////////////////////////
//判断文件格式
if (!IsPE(hFile))
{
m_RichEditProcInfo.ReplaceSel("错误提示:文件不是PE格式!\r\n");
MessageBox("文件不是PE可执行文件","错误提示!",MB_OK);
return;
}
//////////////////////////////////////////////////////////////////////////
//////////第四次内容。分配内存,并载入内存//////////////////////////////////////////// if (!MemAlloc(hFile))
{
m_RichEditProcInfo.ReplaceSel("错误提示:文件加载到内存失败!\r\n");
MessageBox("文件加载到内存失败!","错误提示!",MB_OK);
return;
}
//获取文件大小
dwFileSize=GetFileSize(hFile,NULL);
//设定加壳后的文件名,我采取了一个偷懒的简单方法。…………………………………………
//文件写入完毕后,释放内存
MemAllocFree();
//卸载文件映射,关闭文件句柄
UnmapViewOfFile(lpHeadBase);
CloseHandle(hMapping);
CloseHandle(hFile);
//在编辑框中显示信息……………………………………………………
最后还要将写入函数的指针设置为内存分配的句柄,代码如下:
//写入文件
if (!WriteFile(hFile,lpVirtualtAlloc,dwFileSize,&dwBufferRead,NULL)) {
MessageBox("写入文件失败!","错误提示!",MB_OK);
//卸载文件映射,关闭文件句柄
CloseHandle(hFile);
return;
}
最后编译,运行,即可。如有问题,请对照发布的源代码。
为了优化函数,把第2次内容所使用的文件映射相关的内容都删除掉。删除后的按钮事件代码如下:
void CPEPackerDlg::OnButtonPacking()
{
// TODO: Add your control notification handler code here
HANDLE hFile; //文件句柄
DWORD dwFileSize; //文件大小
DWORD dwBufferRead; //实际读取字节
//打开文件
hFile=CreateFile(m_FilePathName,GENERIC_READ,FILE_SHARE_READ,NULL, OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
//如果文件打开失败,就弹出对话框,并返回。
if (hFile==INVALID_HANDLE_VALUE)
{
MessageBox("打开文件失败!","错误提示",MB_OK);
return;
}
/////////////////第三次加的内容/////////////////////////////////////////////