2.释放资源那些事

目录

1.资源释放（环境设置、加载资源代码）

2.逆向分析

3.工具

4.参考

资源释放

在维基百科里对程序中资源的解释为：资源是嵌入在可移植可执行文件中的只读数据。说白了就是数据，不过这些数据可能包含了程序的图标、对话框、字符串、版本信息等内容(可以没有资源文件)。同样的，恶意软件也可以把恶意代码存放到资源里，在运行时释放并执行恶意代码。

1.环境设置

这里先从正向说一下资源加载的事，我这里是以VS2015为例：

在VS2015中，一般新建的项目就会有资源文件

我们这时候就可以往里面添加内容了，选择资源文件然后右键->添加->新建项(Ctrl+Shift+a)。我们要添加的是一个程序，所以选择资源里的资源文件

 双击新建的rc文件，就会跳转到资源视图，右键选择添加资源

 

资源类型选择Accelerator然后导入程序，这里就可以选择你想要导入的文件，最后的自定义资源类型可以随意命名一个字符串，我这里是“File”

 

最后的显示如图，这里的IDR_FILE1属于资源的标记，下面会用到它来寻找资源

2.加载资源代码

代码主要参考了微软给的例子，我这里没有设置文件释放的路径，程序默认会在当前目录释放资源。如果想释放到临时目录可以看下面参考哪里。

#include<Windows.h>
#include<stdio.h>

#include"resource.h"    //要包含资源文件的头文件

int main()
{
    HRSRC Virus;
    HGLOBAL LoadVirus;
    HANDLE hFile;
    DWORD VirusSize;
    DWORD dwByteWrite = 0;
    LPVOID LockVirus;
    BOOL Flag = FALSE;

    //找到资源
    Virus = FindResource(NULL, MAKEINTRESOURCE(IDR_FILE1), TEXT("File"));
    if (Virus == NULL)
    {
        printf("Could not locate dialog box.");
        return 0;
    }

    //加载资源
    LoadVirus = LoadResource(NULL, Virus);
    if (LoadVirus == NULL)
    {
        printf("Could not lock dialog box.");
        return 0;
    }

    //获取指向资源的指针
    LockVirus = LockResource(LoadVirus);
    if (LockVirus == NULL)
    {
        printf("Could not lock dialog box.");
        return 0;
    }

    //获取资源大小，用于下面写文件
    VirusSize = SizeofResource(NULL, Virus);

    //创建文件
    hFile = CreateFile(L"Virus.dat", GENERIC_WRITE, 0, NULL, CREATE_NEW, FILE_ATTRIBUTE_NORMAL, NULL);
    if (hFile == INVALID_HANDLE_VALUE)
    {
        printf("Unable to open file");
    }

    //写入文件
    Flag = WriteFile(hFile, LockVirus, VirusSize, &dwByteWrite, NULL);
    if (Flag == FALSE)
    {
        printf("Fail to WriteFile");
    }

    return 0;
}

逆向分析

在恶意软件分析中，资源释放的代码也比较明显，在OD中可以明显的看出它的特征是依次调用函数FindResourse、LoadResourse、LockResourse，知道它有资源释放这种行为，我们就可以对应的进行分析了

//查找资源 
FindResource(NULL, MAKEINTRESOURCE(IDR_FILE1), TEXT("File"));

//加载资源
LoadResource(NULL, Virus);

//获取指向资源的指针
LockVirus = LockResource(LoadVirus);

//获取资源大小，用于下面写文件
VirusSize = SizeofResource(NULL, Virus);

对于资源的提取，一般都是用Resourse Hacker这个工具 ，下载链接在下面给出，把编写的程序拉进去就可以看到资源文件相关信息，一个程序可能有很多个资源，那如何定位到哪一个是我们想要的呢？可通过OD动态调试程序，定位到FindResourse这个函数，这个API的第二个参数就是资源的标记，根据这个值就可以定位到Resourse Hacker中的资源

找到自己所需要的资源文件就可以右键把资源保存起来

工具

Resourse Hacker：http://www.angusj.com/resourcehacker/ 

 

参考

使用资源文件：https://docs.microsoft.com/zh-cn/windows/desktop/menurc/using-resources
写资源文件： https://docs.microsoft.com/zh-cn/windows/desktop/FileIO/opening-a-file-for-reading-or-writing
获取临时目录：https://docs.microsoft.com/zh-cn/windows/desktop/FileIO/creating-and-using-a-temporary-file