PE结构之节的操作(4)

节的操作

若要对PE文件填充自己的代码，然后发现字节空间不足，这时候就需要对节表进行操作

此处主要讲节的三种操作，分别为扩大节、新增节、合并节

对文件的节表进行扩大,为了方便操作，只需对最后一个节进行扩大OK了

此处演示扩大1000(16进制)个字节的操作

首先将程序拖入到CFF Explorer工具，查看PE属性

例如文件对齐与内存对齐的值，此处内存对齐的值是1000

请添加图片描述

再查看最后一个节(rsrc)的Virtual Size(节的实际大小)和Raw Size(节文件对齐后的大小)

此处rsrc节的Virtual Size值为1E0, Raw Size的值为200, 两者取最大值200

再取200与1000(内存对齐)的最小公倍数,结果为1000

1000再加上1000(需扩大的字节数), 结果为2000

随后将Virtual Size和Raw Size的值都修改为2000

节内存对齐所增加的字节 = 节内存对齐后的大小(1000) - 节文件对齐后的大小(200), 计算结果为E00, 这个值在后面用winhex工具添加字节的操作中要用到

请添加图片描述

转到PE扩展头查看SizeOfimage(整个PE文件内存对齐后的大小),此处值为9000

将其修改成9000+1000(扩大的字节数), 即修改成10000

请添加图片描述

将文件保存后拖入到winhex中打开,将光标拖到最后一个字节,执行如下图操作

请添加图片描述

要插入的字节数 = E00(节内存对齐增加的字节) + 1000(需扩大的字节) = 1E00, 此处需换算成10进制,即为7680

请添加图片描述

然后winhex保存文件, 执行文件,若程序成功运行则说明扩大节操作成功

扩大节扩出来的空白区还需要考虑节的权限问题，若扩大出来的节没有执行代码的权限，那么还要修改整个节的权限属性，节的权限属性由节表结构体的最后一个成员Characteristics决定

因为新增的节可以自己设置权限，所以相比扩大节而言还是方便挺多的

将文件拖入CFE Explorer中，找到段头部(节表属性)

请添加图片描述

在最后一个节的后面新增节, 以此方便后续的操作

对着最后一个节鼠标右键，为了研究原理，这里选择add section(Header Only), 意思为仅添加节表头。

若不想自己添加节数据，可以选择add section(File data)

请添加图片描述

对节表进行修改, 如下列表所示

节的成员	含义	修改后的值
Name	节的名字	.fuck
Virtual Size	节的实际大小	1000(要新增节的大小)
Virtual Address	节在内存中的偏移地址	9000(上一个节.Virtual Address + 上一个节内存对齐后的大小)
Raw Size	节文件对齐后的大小	1000(新增节的大小)
Raw Address	节在文件中的偏移地址	4E00(上一个节.RawAdress + 上一个节.Raw Size)
Characteristics	节的属性	0(即可读可写可执行)