exeLock 技术完全分析  

真辛苦啊！这是我想说的第一句话。

   有时痛苦得都不想做下去了，但我始终相信我可以做出来，就坚持下来了。要命的是，我的键盘和鼠标都不太灵活了，更要命的是，我连买一只新鼠标的钱都拿不出来！

   一开始想做这个程序的时候，发现从理论上来讲真的是非常的简单，设有一个程序名叫dosomething，我们的检查密码的程序叫checkpassword，那么，我们把checkpassword加入到dosomething的前面，在某人想运行dosomething的时候，好了，checkpassword跳了出来，某人输入正确的密码，就让他dosomething，反之亦然。

   简单吧，但只是看起来是这样！

   我们把这个dosomething.exe用记事本什么的打开，看到的只是一堆乱码，完全没有设想中的begin,end之类的东西，呵呵，连程序从那里开始都不知道，更不用说什么加入自己的代码了。:)    

   要了解EXE的文件结构，就要知道PE(Portable Executable File Format)是什么东东，下面是相关的几篇文章，推荐先看一下:)

   Matt Pietrek大哥写的Peering Inside the PE: A Tour of the Win32 Portable Executable File Format，他可是我的偶像之一哦。

   候捷先生翻译的中文版！嗯，我就知道你要这个。我的另一个偶像:)

   MSDN里的Microsoft Portable Executable and Common Object File Format Specification,官方资料。

   如果你E文不好的话，就看候捷先生那篇就可以看通本文了。

   如果你看不懂以上文档的话，嗯……我帮不了你了，哈哈，说笑了:)

   

   想把一个程序嵌到另一个程序运行可以分为三个步骤:

   1 修改PE文件头信息

   2 增加一个段表信息(Section Table)

   3 写入壳文件

       

   下面是我对这三个步骤的详细说明。

   1 修改PE文件头信息

       .1 段数加一(NumberOfSections)

           我们加了一个Section，这个数当然要加一了。

       

       .2 修改程序入口(AddressOfEntryPoint)

           这个就有不用说了吧！呵呵，把这个地址指到壳文件的入口就行了，注意的是要加上ImageBase 。

       

       .3 增加代码大小(SizeOfCode)

           是原来的大小加上壳文件的大小（壳的头部除外）。

       

       .4 增加内存映像大小(SizeOfImage)

           也是原来的大小加上壳文件的大小（壳的头部除外）。

           

       .5 修改引入表(Import Table)入口(DataDirectory[1].VirtualAddress)

           这个比较重要，请仔细看了。

           我们知道，一般的windows的程序都有API的调用，这个Import Table里放的就是程序要调用的DLL的名称和各个函数的名称或序号。由于我们的外壳程序也要用到API的调用，所以我们必须把入口修改为外壳程序的Import Table的入口。一开始的时候，我本来想不修改这个入口的，但为了清除外壳程序时的方便，所以只有修改原Import Table的入口了，但这又引起了另一个麻烦，就是我们必需人工装入原程序的输入部分。也就是说，原来的程序要引用的DLL现在要外壳程序加载上去了，嗯……真是有得必有失啊。因为Import Table是装入器，也就是运行程序时把程序装入系统并运行的那个家伙，自动加载上去的，修改了原程序的入口之后，装入器就加载了壳程序的Import Table，而原程序的Import Table它就不管了（它不知道啊，怎么管？）。所以只有壳程序把这个粗活接下来了。

           

       .6 修改引入表(Import Table)大小(DataDirectory[1].Size)

           这个改为壳程序的引入表大小就可以了。

           

   2 增加一个段表信息(Section Table)

       .1 在最后一个段表信息之后增加一个段表信息".BOYU"

           没有这个段表信息的话，系统才不管你加了什么东西进去呢。

       

   3 写入壳文件

       .1 把壳程序的exe文件中的涉及到地址部分相应地加上原程序的基址(ImageBase)，

           一般来说是调用DLL，还有全局变量的时候要用到。

       .2 保存原程序的ImageBase,AddressOfEntryPoint,Import Table入口(DataDirectory[1].VirtualAddress)在壳程序的.data 里的相应的变量偏移地址，以供壳程序使用。

       .3 把壳程序的exe文件的三个段.code、 .rdata 、.data写入原exe文件的尾部，要注意段对齐(Section Align)

           这三个段合并为一个，写到段表信息量".BOYU"的PointerToRawData所指的地方，因为要注意Section Align 所以前面可能要加上补足的部分。