加壳原理与简单实现加壳（delphi源码）

秒速五厘米 2022-07-08 15:29 226阅读 0赞

\{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
![None.gif][]AddShell（）源自于前一段时间有写的addsection（）新增区段[代码][Link 1]，  
![None.gif][]在增加区段代码的基础上，追加了  
![None.gif][]1.修改启动入口点位置  
![None.gif][]2.增加一段壳头xor $50的代码function AttachStart-function AttachEnd  
![None.gif][] 这一段代码是先填充，再被修改成合适原EXE的壳头  
![None.gif][]3.修改原启动代码入口点所在区段的段属性可写并进行xor $50运算加密  
![None.gif][]  
![None.gif][]  
![None.gif][]不支持addshell（）处理已经过addshell的exe  
![None.gif][]\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]  
![None.gif][]unit Unit1;  
![None.gif][]  
![None.gif][]interface  
![None.gif][]  
![None.gif][]uses  
![None.gif][]  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,  
![None.gif][]  Dialogs, StdCtrls;  
![None.gif][]  
![None.gif][] type   
![None.gif][]  TForm1  =  class(TForm)  
![None.gif][]    Button1: TButton;  
![None.gif][]    Edit1: TEdit;  
![None.gif][]    Button2: TButton;  
![None.gif][]    Button3: TButton;  
![None.gif][]     procedure  Button1Click(Sender: TObject);  
![None.gif][]     procedure  Button3Click(Sender: TObject);  
![None.gif][]     procedure  Button2Click(Sender: TObject);  
![None.gif][]  private  
![None.gif][]     \{   Private declarations  \}   
![None.gif][]  public  
![None.gif][]     \{   Public declarations  \}   
![None.gif][]   end ;  
![None.gif][]  
![None.gif][] var   
![None.gif][]  Form1             : TForm1;  
![None.gif][]  
![None.gif][]implementation  
![None.gif][]  
![None.gif][] \{  $R \*.dfm \}   
![None.gif][] function  AttachStart: dword; stdcall;    // 我们定义的待填充数据  
![None.gif][]asm  
![None.gif][]       pushfd  
![None.gif][]       pushad  
![None.gif][]       mov eax,$ 12345678        // 将会被自动计算并修改为加密初始地址  
![None.gif][]       mov ebx,$ 1234            // 将会被自动计算并修改为加密大小  
![None.gif][]       mov ecx, 0   
![None.gif][]       @AA:  
![None.gif][]       xor byte ptr\[eax\],$ 50   
![None.gif][]       inc eax  
![None.gif][]       inc ecx  
![None.gif][]       cmp ecx,ebx  
![None.gif][]       jbe @aa  
![None.gif][]       popad  
![None.gif][]       popfd  
![None.gif][]       push $ 12345678          // 将会被自动计算并修改为原OEP  
![None.gif][]       ret  
![None.gif][] end ;  
![None.gif][]  
![None.gif][] function  AttachEnd: dword; stdcall;  
![None.gif][] begin   
![None.gif][] end ;  
![None.gif][]  
![None.gif][] \{  \-------------------------增加区块并实现简易加壳-------------------------------- \}   
![None.gif][] procedure  AddShell(lFileName: string; lBackup: boolean);  // 打开exe文件,是否备份  
![None.gif][] var   
![None.gif][]  hFile             : THandle;           // 文件句柄  
![None.gif][]  ImageDosHeader    : IMAGE\_DOS\_HEADER;  // DOS部首  
![None.gif][]  ImageNtHeaders    : IMAGE\_NT\_HEADERS;  // 映象头  
![None.gif][]  ImageSectionHeader: IMAGE\_SECTION\_HEADER;  // 块表  
![None.gif][]  lPointerToRawData : dword;             // 指向文件中的偏移  
![None.gif][]  lVirtualAddress   : dword;             // 指向内存中的偏移  
![None.gif][]  i                 : integer;           // 循环变量  
![None.gif][]  BytesRead, ByteSWrite: Cardinal;       // 读写用参数  
![None.gif][]  AttachSize        : dword;             // 附加段大小  
![None.gif][]  AttachData, ChangeData: integer;       // 附加段填充数据  
![None.gif][]  OEP               : integer;           // 使用过程中用到的EP  
![None.gif][]  lpBuffer          :  array \[ 0 .. 1024   \*   400 \]  of  byte;  \{  待加密数据存储缓冲区 \}   
![None.gif][]  nNumberOfBytesToRead, lpNumberOfBytesRead: dword;  // 加密时用到的一些数据  
![None.gif][]  StartEN, SizeEN, StartCr: dword;       // 加密用的开始物理地址和大小  
![None.gif][] begin   
![None.gif][]  
![None.gif][]   // 定义附加段填充数据  
![None.gif][]  AttachData : =   0 ;  
![None.gif][]  
![None.gif][]   // 打开文件  
![None.gif][]  hFile : =  CreateFile(PChar(lFileName), GENERIC\_READ  or  GENERIC\_WRITE, FILE\_SHARE\_READ  or  FILE\_SHARE\_WRITE,  nil , OPEN\_EXISTING, FILE\_ATTRIBUTE\_NORMAL,  0 );  
![None.gif][]  
![None.gif][]   // 校验  
![None.gif][]   if  hFile  =  INVALID\_HANDLE\_VALUE  then   
![None.gif][]   begin   
![None.gif][]    ShowMessage( ' 打开文件失败 ' );  
![None.gif][]    exit;  
![None.gif][]   end ;  
![None.gif][]  
![None.gif][]   // 确认备份  
![None.gif][]   if  lBackup  then  CopyFile(PChar(lFileName), PChar(lFileName  \+   ' .bak ' ), False);  
![None.gif][]  try  
![None.gif][]  
![None.gif][]     // 读取DOS部首到ImageDosHeader  
![None.gif][]    ReadFile(hFile, ImageDosHeader, SizeOf(ImageDosHeader), BytesRead,  nil );  
![None.gif][]  
![None.gif][]     // 校验  
![None.gif][]     if  ImageDosHeader.e\_magic  <>  IMAGE\_DOS\_SIGNATURE  then   
![None.gif][]     begin   
![None.gif][]      ShowMessage( ' 不是有效的PE文件! ' );  
![None.gif][]      exit;  
![None.gif][]     end ;  
![None.gif][]  
![None.gif][]     // 指向映象头  
![None.gif][]    SetFilePointer(hFile, ImageDosHeader.\_lfanew,  nil , FILE\_BEGIN);  
![None.gif][]  
![None.gif][]     // 读取映向头到ImageNtHeaders  
![None.gif][]    ReadFile(hFile, ImageNtHeaders, SizeOf(ImageNtHeaders), BytesRead,  nil );  
![None.gif][]  
![None.gif][]     // 校验  
![None.gif][]     if  ImageNtHeaders.Signature  <>  IMAGE\_NT\_SIGNATURE  then   
![None.gif][]     begin   
![None.gif][]      ShowMessage( ' 不是有效的PE文件 ' );  
![None.gif][]      exit;  
![None.gif][]     end ;  
![None.gif][]     \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]     \{  OEP=基址+原EP \}   
![None.gif][]    OEP : =  ImageNtHeaders.OptionalHeader.ImageBase  \+  ImageNtHeaders.OptionalHeader.AddressOfEntryPoint;  
![None.gif][]  
![None.gif][]     \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]  
![None.gif][]     // 计算加入块对齐后大小  
![None.gif][]    AttachSize : =  ((integer(@AttachEnd)  \-  integer(@AttachStart))  div  ImageNtHeaders.OptionalHeader.FileAlignment  \+   1 )  \*  ImageNtHeaders.OptionalHeader.FileAlignment;  
![None.gif][]  
![None.gif][]     // 初始化文件中偏移和映象中偏移  
![None.gif][]    lPointerToRawData : =   0 ;  
![None.gif][]    lVirtualAddress : =   0 ;  
![None.gif][]  
![None.gif][]     for  i : =   0   to  ImageNtHeaders.FileHeader.NumberOfSections  \-   1   do   
![None.gif][]     begin   
![None.gif][]  
![None.gif][]       // 读取块表中信息  
![None.gif][]      ReadFile(hFile, ImageSectionHeader, SizeOf(ImageSectionHeader), BytesRead,  nil );  
![None.gif][]  
![None.gif][]       \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]        \{  查找原EP所在区段(原EP所在区段)，记录物理偏移（加密用初始地址），物理大小（加密用长度） \}   
![None.gif][]       if  LPCSTR(@ImageSectionHeader.Name\[ 0 \])  =   ' .EN '   then   
![None.gif][]       begin   
![None.gif][]        ShowMessage( ' 已经过本addshell处理！ ' );  
![None.gif][]        exit;  
![None.gif][]       end ;  
![None.gif][]  
![None.gif][]       if  ImageNtHeaders.OptionalHeader.AddressOfEntryPoint  >  ImageSectionHeader.VirtualAddress  then   
![None.gif][]       begin   
![None.gif][]        StartEN : =  ImageSectionHeader.PointerToRawData;  
![None.gif][]        SizeEN : =  ImageSectionHeader.SizeOfRawData;  
![None.gif][]        StartCr : =  ImageNtHeaders.OptionalHeader.ImageBase  \+  ImageSectionHeader.VirtualAddress;  
![None.gif][]       end ;  
![None.gif][]  
![None.gif][]       \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]  
![None.gif][]       // 计算文件中偏移  
![None.gif][]       if  lPointerToRawData  <  ImageSectionHeader.PointerToRawData  \+  ImageSectionHeader.SizeOfRawData  then   
![None.gif][]        lPointerToRawData : =  ImageSectionHeader.PointerToRawData  \+  ImageSectionHeader.SizeOfRawData;  
![None.gif][]  
![None.gif][]       // 计算映象中偏移  
![None.gif][]       if  lVirtualAddress  <  ImageSectionHeader.VirtualAddress  \+  ImageSectionHeader.Misc.VirtualSize  then   
![None.gif][]        lVirtualAddress : =  ImageSectionHeader.VirtualAddress  \+  ImageSectionHeader.Misc.VirtualSize;  
![None.gif][]     end ;  
![None.gif][]  
![None.gif][]     \{  增加块,定义块各项属性 \}   
![None.gif][]  
![None.gif][]    Move( ' .EN ' \# 0 , ImageSectionHeader.Name\[ 0 \],  5 );  
![None.gif][]  
![None.gif][]     // 设置初始属性  
![None.gif][]    ImageSectionHeader.Misc.VirtualSize : =  AttachSize;  
![None.gif][]    ImageSectionHeader.VirtualAddress : =  lVirtualAddress;  
![None.gif][]    ImageSectionHeader.SizeOfRawData : =  AttachSize;  
![None.gif][]    ImageSectionHeader.PointerToRawData : =  lPointerToRawData;  
![None.gif][]    ImageSectionHeader.PointerToRelocations : =   0 ;  
![None.gif][]    ImageSectionHeader.PointerToLinenumbers : =   0 ;  
![None.gif][]    ImageSectionHeader.NumberOfRelocations : =   0 ;  
![None.gif][]  
![None.gif][]     // 校正新节物理偏移(物理区块对齐)  
![None.gif][]     if  ImageSectionHeader.VirtualAddress  mod  ImageNtHeaders.OptionalHeader.SectionAlignment  >   0   then   
![None.gif][]      ImageSectionHeader.VirtualAddress : =  (ImageSectionHeader.VirtualAddress  div  ImageNtHeaders.OptionalHeader.SectionAlignment  \+   1 )  \*  ImageNtHeaders.OptionalHeader.SectionAlignment;  
![None.gif][]  
![None.gif][]     // 校正新节映象偏移(映象中区块对齐)  
![None.gif][]     if  ImageSectionHeader.Misc.VirtualSize  mod  ImageNtHeaders.OptionalHeader.SectionAlignment  >   0   then   
![None.gif][]      ImageSectionHeader.Misc.VirtualSize : =  (ImageSectionHeader.Misc.VirtualSize  div  ImageNtHeaders.OptionalHeader.SectionAlignment  \+   1 )  \*  ImageNtHeaders.OptionalHeader.SectionAlignment;  
![None.gif][]  
![None.gif][]     // 设置区块属性  
![None.gif][]    ImageSectionHeader.Characteristics : =  $E00000E0;  
![None.gif][]  
![None.gif][]     // 保存区块信息  
![None.gif][]    WriteFile(hFile, ImageSectionHeader, SizeOf(ImageSectionHeader), ByteSWrite,  nil );  
![None.gif][]  
![None.gif][]     // 校正内存映象大小  
![None.gif][]    ImageNtHeaders.OptionalHeader.SizeOfImage : =  ImageNtHeaders.OptionalHeader.SizeOfImage  \+  ImageSectionHeader.Misc.VirtualSize;  
![None.gif][]     // 更新OEP  
![None.gif][]    ImageNtHeaders.OptionalHeader.AddressOfEntryPoint : =  ImageSectionHeader.VirtualAddress;  
![None.gif][]  
![None.gif][]     // 校正块数目  
![None.gif][]    Inc(ImageNtHeaders.FileHeader.NumberOfSections);  
![None.gif][]  
![None.gif][]     // 定位到映象头  
![None.gif][]    SetFilePointer(hFile, ImageDosHeader.\_lfanew,  nil , FILE\_BEGIN);  
![None.gif][]  
![None.gif][]     // 保存校正过的映象头  
![None.gif][]    WriteFile(hFile, ImageNtHeaders, SizeOf(ImageNtHeaders), ByteSWrite,  nil );  
![None.gif][]  
![None.gif][]     // 定位到新节开始处  
![None.gif][]    SetFilePointer(hFile, ImageSectionHeader.PointerToRawData,  nil , FILE\_BEGIN);  
![None.gif][]  
![None.gif][]     // 用00数据填充满新节  
![None.gif][]     for  i : =   1   to  AttachSize  do   
![None.gif][]     begin   
![None.gif][]      WriteFile(hFile, PByte(@AttachData)^,  1 , ByteSWrite,  nil );  
![None.gif][]     end ;  
![None.gif][]  
![None.gif][]     \{  填充自定义数据 \}   
![None.gif][]       // 指向新节开始处  
![None.gif][]    SetFilePointer(hFile, ImageSectionHeader.PointerToRawData,  nil , FILE\_BEGIN);  
![None.gif][]  
![None.gif][]     // 填充我们定义的数据  
![None.gif][]    WriteFile(hFile, PByte(@AttachStart)^, integer(@AttachEnd)  \-  integer(@AttachStart), ByteSWrite,  nil );  
![None.gif][]     \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]     // 修改所谓的外壳处大量数据  
![None.gif][]    ChangeData : =  ImageSectionHeader.PointerToRawData  \+   3 ;  
![None.gif][]    SetFilePointer(hFile, ChangeData,  nil , FILE\_BEGIN);  
![None.gif][]    WriteFile(hFile, StartCr,  4 , ByteSWrite,  nil );  // 开始加密地址  
![None.gif][]    ChangeData : =  ChangeData  \+   5 ;  
![None.gif][]    SetFilePointer(hFile, ChangeData,  nil , FILE\_BEGIN);  
![None.gif][]    WriteFile(hFile, SizeEN,  4 , ByteSWrite,  nil );  // 大小  
![None.gif][]    ChangeData : =  ChangeData  \+   21 ;  
![None.gif][]    SetFilePointer(hFile, ChangeData,  nil , FILE\_BEGIN);  
![None.gif][]    WriteFile(hFile, OEP,  4 , ByteSWrite,  nil );  // 跳回OEP  
![None.gif][]  
![None.gif][]     \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]     // 没有异常,显示增加区块成功!  
![None.gif][]    ShowMessage( ' 增加区块成功! ' );  
![None.gif][]  
![None.gif][]  
![None.gif][]    SetFilePointer(hFile, StartEN,  nil , FILE\_BEGIN);  
![None.gif][]    ReadFile(hFile, lpBuffer, SizeEN, BytesRead,  nil );  
![None.gif][]     for  i : =   0   to  SizeEN  \-   1   do   
![None.gif][]     begin   
![None.gif][]      byte(pointer(integer(@lpBuffer)  \+  i)^) : =  byte(pointer(integer(@lpBuffer)  \+  i)^) xor $ 50 ;  
![None.gif][]     end ;  
![None.gif][]    SetFilePointer(hFile, StartEN,  nil , FILE\_BEGIN);  
![None.gif][]    WriteFile(hFile, lpBuffer, SizeEN, ByteSWrite,  nil );  
![None.gif][]     // 没有异常,显示变换成功!  
![None.gif][]    ShowMessage( ' 变换数据成功! ' );  
![None.gif][]  
![None.gif][]  
![None.gif][]  
![None.gif][]     \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]    SetFilePointer(hFile, (ImageDosHeader.\_lfanew  \+  SizeOf(ImageNtHeaders)),  nil , FILE\_BEGIN);  
![None.gif][]  
![None.gif][]     for  i : =   0   to  ImageNtHeaders.FileHeader.NumberOfSections  \-   1   do   
![None.gif][]     begin   
![None.gif][]  
![None.gif][]       // 读取块表中信息  
![None.gif][]      ReadFile(hFile, ImageSectionHeader, SizeOf(ImageSectionHeader), BytesRead,  nil );  
![None.gif][]       if  ImageSectionHeader.PointerToRawData  =  StartEN  then   
![None.gif][]       begin   
![None.gif][]        ImageSectionHeader.Characteristics : =  $E00000E0;  
![None.gif][]        SetFilePointer(hFile,  \- SizeOf(ImageSectionHeader),  nil , FILE\_CURRENT);  
![None.gif][]         // 保存区块信息  
![None.gif][]        WriteFile(hFile, ImageSectionHeader, SizeOf(ImageSectionHeader), ByteSWrite,  nil );  
![None.gif][]        Break;  
![None.gif][]       end ;  
![None.gif][]     end ;  
![None.gif][]    ShowMessage( ' 修改区段属性成功! ' );  
![None.gif][]     \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]  
![None.gif][]  
![None.gif][]  finally  
![None.gif][]  
![None.gif][]     \{  8.退出 \}   
![None.gif][]         // 关闭文件  
![None.gif][]    CloseHandle(hFile);  
![None.gif][]   end ;  
![None.gif][]  
![None.gif][] end ;  
![None.gif][] \{  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*Func end\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* \}   
![None.gif][]  
![None.gif][] procedure  TForm1.Button1Click(Sender: TObject); // addshell  
![None.gif][] begin   
![None.gif][]  
![None.gif][]  AddShell(Edit1.text, true);  
![None.gif][] end ;  
![None.gif][]  
![None.gif][] procedure  TForm1.Button3Click(Sender: TObject); // browser  
![None.gif][] begin   
![None.gif][]   with  TOpenDialog.Create(Self)  do   
![None.gif][]  try  
![None.gif][]    Filter : =   ' 可执行文件 (\*.exe)|\*.exe ' ;  
![None.gif][]     if  Execute  then   
![None.gif][]     begin   
![None.gif][]      Edit1.text : =  FileName;  
![None.gif][]     end ;  
![None.gif][]  finally  
![None.gif][]    Free;  
![None.gif][]   end ;  
![None.gif][] end ;  
![None.gif][]  
![None.gif][] procedure  TForm1.Button2Click(Sender: TObject); // exit

[None.gif]: /images/20220708/baedb8464c9f47e8b0594afef207b641.png
[Link 1]: http://www.xuebuyuan.com/