内存直接加载运行DLL文件

前言：

　　将DLL文件作为资源插入到自己程序中的方法，前面已经说过了。附上链接：MFC —— 资源文件释放（为了程序更简洁） 程序需要动态调用DLL文件，内存加载运行技术可以把这些DLL作为资源插入到自己的程序中。此时直接在内存中加载运行即可，不需要再将DLL释放到本地。

实现原理：

　　将资源加载到内存，然后把DLL文件按照映像对齐大小映射到内存中，切不可直接将DLL文件数据存储到内存中。因为根据PE结构的基础知识可知，PE文件有两个对齐字段，一个是映像对齐大小SectionAlignment，另一个是文件对齐大小FileAlignment。其中，映像对齐大小是PE文件加载到内存中所用的对齐大小，而文件对齐大小是PE文件存储在本地磁盘所用的对齐大小。一般文件对齐大小会比映像对齐大小要小，这样文件会变小，以此节省磁盘空间。然而，成功映射内存数据之后，在DLL程序中会存在硬编码数据，硬编码都是以默认的加载基址作为基址来计算的。由于DLL可以任意加载到其他进程空间中，所以DLL的加载基址并非固定不变。当改变加载基址的时候，硬编码也要随之改变，这样DLL程序才会计算正确。但是，如何才能知道需要修改哪些硬编码呢？换句话说，如何知道硬编码的位置？答案就藏在PE结构的重定位表中，重定位表记录的就是程序中所有需要修改的硬编码的相对偏移位置。根据重定位表修改硬编码数据后，这只是完成了一半的工作。DLL作为一个程序，自然也会调用其他库函数，例如MessageBox。那么DLL如何知道MessageBox函数的地址呢？它只有获取正确的调用函数地址后，方可正确调用函数。PE结构使用导入表来记录PE程序中所有引用的函数及其函数地址。在DLL映射到内存之后，需要根据导入表中的导入模块和函数名称来获取调用函数的地址。若想从导入模块中获取导出函数的地址，最简单的方式是通过GetProcAddress函数来获取（此次采用的方法）。但是为了避免调用敏感的WIN32 API函数而被杀软拦截检测，采用直接遍历PE结构导出表的方式来获取导出函数地址。

实现流程：

　　(1).将资源形式的dll文件加载到内存

　　(2).根据PE结构获取其文件映像大小

　　(3).根据文件映像大小再申请一块可读、可写、可执行的内存

　　(4).将内存DLL数据按映像对齐大小（SectionAlignment）映射到刚刚申请的内存中

　　(5).根据PE结构的重定位表，对需要重定位的数据进行修正

　　(6).根据PE结构的导入表，加载所需的DLL,获取函数地址并写入导入地址表

　　(7).修改DLL的加载基址为第(3)步申请的空间的首地址

　　(8).获取Dll的入口地址并构造DllMain函数，然后调用DllMain函数

实现代码：

    //************************************
    // 函数名:  CStartDlg::LoadMyResource
    // 返回类型:   LPVOID
    // 功能: 加载资源到内存
    // 参数1: UINT uiResourceName    资源名
    // 参数1: char * lpszResourceType    资源类型
    //************************************
LPVOID CStartDlg::LoadMyResource(UINT uiResourceName, char* lpszResourceType)
{
    //获取指定模块里的资源
    HRSRC hRsrc = FindResource(GetModuleHandle(NULL), MAKEINTRESOURCE(uiResourceName), (LPCWSTR)lpszResourceType);
    if (NULL == hRsrc)
    {
        MessageBox(L"获取资源失败!");
        return FALSE;
    }
    //获取资源大小
    DWORD dwSize = SizeofResource(NULL, hRsrc);
    if (dwSize <= 0)
    {
        MessageBox(L"获取资源大小失败!");
        return FALSE;
    }
    //将资源加载到内存里
    HGLOBAL hGlobal = LoadResource(NULL, hRsrc);
    if (NULL == hGlobal)
    {
        MessageBox(L"资源加载到内存失败!");
        return FALSE;
    }
    //锁定资源
    LPVOID lpVoid = LockResource(hGlobal);
    if (NULL == lpVoid)
    {
        MessageBox(L"锁定资源失败!");
        return FALSE;
    }
    return lpVoid;
}


    //************************************
    // 函数名:  CStartDlg::MmLoadLibrary
    // 返回类型:   LPVOID
    // 功能: 模拟LoadLibrary加载内存文件到进程中
    // 参数1: LPVOID lpData    文件基址
    // 参数2: BOOL IsExe    文件属性标志，TRUE表示exe文件，FALSE表示dll文件
    //************************************
LPVOID CStartDlg::MmLoadLibrary(LPVOID lpData,BOOL IsExe)
{
    LPVOID lpBaseAddress = NULL;
    // 获取映像大小
    DWORD dwSizeOfImage = GetSizeOfImage(lpData);
    // 在进程中申请一个可读、可写、可执行的内存块
    lpBaseAddress = VirtualAlloc(NULL, dwSizeOfImage, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    if (NULL == lpBaseAddress)
    {
        MessageBox(L"申请空间失败！");
        return NULL;
    }
    // 将申请的空间的数据全部置0
    RtlZeroMemory(lpBaseAddress, dwSizeOfImage);

    // 将内存DLL数据按映像对齐大小（SectionAlignment）映射到刚刚申请的内存中
    if (FALSE == MmMapFile(lpData, lpBaseAddress))
    {
        MessageBox(L"区段映射到内存失败!");
        return NULL;
    }

    // 修改PE文件的重定位表信息
    if (FALSE == DoRelocationTable(lpBaseAddress))
    {
        MessageBox(L"修复重定位失败!");
        return NULL;
    }

    // 填写PE文件的导入表信息
    if (FALSE == DoImportTable(lpBaseAddress))
    {
        MessageBox(L"导入表填写失败!");
        return NULL;
    }
    // 修改PE文件的加载基址IMAGE_NT_HEADERS.OptionalHeader.ImageBase
    if (FALSE == SetImageBase(lpBaseAddress))
    {
        MessageBox(L"修改加载机制失败!");
        return NULL;
    }
    // 调用DLL的入口函数DllMain,函数地址即为PE文件的入口点AddressOfEntryPoint
    if (FALSE == CallDllMain(lpBaseAddress,IsExe))
    {
        MessageBox(L"调用入口函数失败!");
        return NULL;
    }
    return lpBaseAddress;
}



    //************************************
    // 函数名:  CStartDlg::GetSizeOfImage
    // 返回类型:   DWORD
    // 功能: 获取文件映像大小
    // 参数1: LPVOID lpData    文件基址
    //************************************
DWORD CStartDlg::GetSizeOfImage(LPVOID lpData)
{
    //获取Dos头
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)lpData;
    //判断是否是有效的PE文件        0x5A4D
    if (pDosHeader->e_magic != IMAGE_DOS_SIGNATURE)
    {
        MessageBox(L"这不是一个PE文件!");
        return 0;
    }

    //获取NT头
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader+pDosHeader->e_lfanew);
    //判断是否是有效的PE文件        0x00004550
    if (pNtHeader->Signature != IMAGE_NT_SIGNATURE)
    {
        MessageBox(L"这不是一个PE文件!");
        return 0;
    }

    //获取文件映像大小
    return pNtHeader->OptionalHeader.SizeOfImage;
}



    //************************************
    // 函数名:  CStartDlg::MmMapFile
    // 返回类型:   BOOL
    // 功能: 将内存DLL数据按映像对齐大小（SectionAlignment）映射到刚刚申请的内存中
    // 参数1: LPVOID lpData    文件基址
    // 参数2: LPVOID lpBaseAddress    申请的内存的首地址
    //************************************
BOOL CStartDlg::MmMapFile(LPVOID lpData, LPVOID lpBaseAddress)
{
    //获取Dos头
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)lpData;
    //获取NT头
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);
    //获取所有头部+区段表的大小
    DWORD dwSizeOfHeaders = pNtHeader->OptionalHeader.SizeOfHeaders;
    //获取区段数量
    WORD wNumberOfSections = pNtHeader->FileHeader.NumberOfSections;
    //获取区段表数组的首元素
    PIMAGE_SECTION_HEADER pSectionHeader = IMAGE_FIRST_SECTION(pNtHeader);
    //将头部（包括区段表）拷贝到内存
    RtlCopyMemory(lpBaseAddress, lpData, dwSizeOfHeaders);
    LPVOID lpSrcMem = NULL;
    LPVOID lpDestMem = NULL;
    DWORD dwSizeOfRawData = 0;
    //循环加载所有区段
    for (WORD i = 0; i < wNumberOfSections; i++)
    {
        //过滤掉无效区段
        if (0 == pSectionHeader->VirtualAddress || 0 == pSectionHeader->SizeOfRawData)
        {
            pSectionHeader++;
            continue;
        }
        //获取区段在文件中的位置
        lpSrcMem = (LPVOID)((DWORD)lpData + pSectionHeader->PointerToRawData);
        //获取区段映射到内存中的位置
        lpDestMem = (LPVOID)((DWORD)lpBaseAddress + pSectionHeader->VirtualAddress);
        //获取区段在文件中的大小
        dwSizeOfRawData = pSectionHeader->SizeOfRawData;
        //将区段数据拷贝到内存中
        RtlCopyMemory(lpDestMem, lpSrcMem, dwSizeOfRawData);
        //获取下一个区段头（属性）
        pSectionHeader++;
    }
    return TRUE;
}


    //************************************
    // 函数名:  CStartDlg::DoRelocationTable
    // 返回类型:   BOOL
    // 功能: 修改PE文件的重定位表信息
    // 参数1: LPVOID lpBaseAddress    映像对齐后的文件基址
    //************************************
BOOL CStartDlg::DoRelocationTable(LPVOID lpBaseAddress)
{
    //获取Dos头
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)lpBaseAddress;
    //获取NT头
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);
    //获取重定位表的地址
    PIMAGE_BASE_RELOCATION pReloc = (PIMAGE_BASE_RELOCATION)((DWORD)pDosHeader + 
        pNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress);

    //注意重定位表的位置可能和硬盘文件中的偏移地址不同，应该使用加载后的地址

    //判断是否有重定位表
    if ((PVOID)pReloc == (PVOID)pDosHeader)
    {
        //没有重定位表
        return TRUE;
    }

    int nNumberOfReloc = 0;
    WORD* pRelocData = NULL;
    DWORD* pAddress = NULL;
    //开始修复重定位
    while (pReloc->VirtualAddress != 0 && pReloc->SizeOfBlock != 0)
    {
        //计算本区域（每一个描述了4KB大小的区域的重定位信息）需要修正的重定位项的数量
        nNumberOfReloc = (pReloc->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) / sizeof(WORD);

        for (int i = 0; i < nNumberOfReloc; i++)
        {
            //获取IMAGE_BASE_RELOCATION结构后面的数据的地址
            pRelocData = (WORD*)((DWORD)pReloc + sizeof(IMAGE_BASE_RELOCATION));

            //每个WORD由两部分组成，高4位指出了重定位的类型，WINNT.H中的一系列IMAGE_REL_BASED_xxx定义了重定位类型的取值。
            //大部分重定位属性值都是0x3
            //低12位是相对于IMAGE_BASE_RELOCATION中第一个元素VirtualAddress描述位置的偏移
            //找出需要修正的地址
            if ((WORD)(pRelocData[i] & 0xF000) == 0x3000)
            {
                //获取需要修正数据的地址,    按位与计算优先级比加减乘除低
                pAddress = (DWORD*)((DWORD)pDosHeader + pReloc->VirtualAddress + (pRelocData[i] & 0x0FFF));
                //进行修改
                *pAddress += (DWORD)pDosHeader - pNtHeader->OptionalHeader.ImageBase;
            }
        }

        //下一个重定位块
        pReloc = (PIMAGE_BASE_RELOCATION)((DWORD)pReloc + pReloc->SizeOfBlock);
    }
    return TRUE;
}



    //************************************
    // 函数名:  CStartDlg::DoImportTable
    // 返回类型:   BOOL
    // 功能: 填写PE文件的导入表信息
    // 参数1: LPVOID lpBaseAddress    映像对齐后的文件基址
    //************************************
BOOL CStartDlg::DoImportTable(LPVOID lpBaseAddress)
{
    //获取Dos头
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)lpBaseAddress;
    //获取NT头
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);
    //获取导入表地址
    PIMAGE_IMPORT_DESCRIPTOR pImport = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)pDosHeader + 
        pNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);

    char* pDllName = nullptr;
    HMODULE hDll = NULL;
    PIMAGE_THUNK_DATA pIat = NULL;
    FARPROC pFuncAddress = NULL;
    PIMAGE_IMPORT_BY_NAME pImportByName = NULL;

    //循环遍历导入表
    while (pImport->Name)
    {
        //获取导入表中的Dll名称
        pDllName = (char*)((DWORD)pDosHeader + pImport->Name);
        //检索Dll模块获取模块句柄
        hDll = GetModuleHandleA(pDllName);
        //获取失败
        if (NULL == hDll)
        {
            //加载Dll模块获取模块句柄
            hDll = LoadLibraryA(pDllName);
            //加载失败
            if (NULL == hDll)
            {
                pImport++;
                continue;
            }
        }
        
        //获取IAT
        pIat = (PIMAGE_THUNK_DATA)((DWORD)pDosHeader + pImport->FirstThunk);

        //遍历IAT中函数
        while (pIat->u1.Ordinal)
        {
            //判断导入的函数是名称导入还是序号导入
            //判断最高位是否为1，如果是1那么是序号导入
            if (pIat->u1.Ordinal & 0x80000000)
            {
                //获取函数地址
                pFuncAddress = GetProcAddress(hDll, (LPCSTR)(pIat->u1.Ordinal & 0x7FFFFFFF));

            }
                //名称导入
            else
            {
                //获取IMAGE_IMPORT_BY_NAME结构
                pImportByName = (PIMAGE_IMPORT_BY_NAME)((DWORD)pDosHeader + pIat->u1.AddressOfData);
                //获取函数地址
                pFuncAddress = GetProcAddress(hDll, pImportByName->Name);
            }
            //将函数地址填入到IAT中
            pIat->u1.Function = (DWORD)pFuncAddress;
            pIat++;
        }
        pImport++;
    }

    return TRUE;
}




    //************************************
    // 函数名:  CStartDlg::SetImageBase
    // 返回类型:   BOOL
    // 功能: 修改PE文件的加载基址IMAGE_NT_HEADERS.OptionalHeader.ImageBase
    // 参数1: LPVOID lpBaseAddress    映像对齐后的文件基址
    //************************************
BOOL CStartDlg::SetImageBase(LPVOID lpBaseAddress)
{
    //获取Dos头
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)lpBaseAddress;
    //获取NT头
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);
    //修改默认加载基址
    pNtHeader->OptionalHeader.ImageBase = (DWORD)lpBaseAddress;
    return TRUE;
}



    //************************************
    // 函数名:  CStartDlg::CallDllMain
    // 返回类型:   BOOL
    // 功能: 调用PE文件的入口函数
    // 参数1: LPVOID lpBaseAddress    映像对齐后的文件基址
    // 参数2: BOOL IsExe    文件属性标志，TRUE表示exe文件，FALSE表示dll文件
    //************************************
BOOL CStartDlg::CallDllMain(LPVOID lpBaseAddress,BOOL IsExe)
{
    //定义函数指针变量
    typedef_DllMain DllMain = NULL;
    typedef_wWinMain MyWinMain = NULL;

    //获取Dos头
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)lpBaseAddress;
    //获取NT头
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);

    BOOL bRet = TRUE;
    //如果是exe文件
    if (IsExe)
    {
        MessageBox(_T("有问题，待解决"));
        //MyWinMain = (typedef_wWinMain)((DWORD)pDosHeader + pNtHeader->OptionalHeader.AddressOfEntryPoint+0xF8D);
        //bRet = MyWinMain((HINSTANCE)lpBaseAddress, NULL, NULL, SW_SHOWNORMAL);
    }
    //dll 文件
    else {
        DllMain = (typedef_DllMain)((DWORD)pDosHeader + pNtHeader->OptionalHeader.AddressOfEntryPoint);
        //调用入口函数，附加进程DLL_PROCESS_ATTACH
        bRet = DllMain((HINSTANCE)lpBaseAddress, DLL_PROCESS_ATTACH, NULL);
    }

    return bRet;
}