滴水逆向-新增一个节（编写代码）

下面是综合性相关代码中，关于新增一个节的代码

DWORD ReadPEFile(IN LPSTR lpszFile, OUT LPVOID* pFileBuffer)
{
    //下面有个IN和OUT，大致意思就是参数的类型传入进来之后不进行宏扩展；
    //啥也不干，即使理解成干，也是扩展成空白，这个是C++语法中允许的；
    //LPSTR  ---->  typedef CHAR *LPSTR, *PSTR; 意思就是char* 指针；在WINNT.H头文件里面
    FILE* pFile = NULL;
    //定义一个FILE结构体指针，在标准的Stdio.h文件头里面
    //可参考：https://blog.csdn.net/qq_15821725/article/details/78929344
    DWORD fileSize = 0;
    // typedef unsigned long       DWORD;  DWORD是无符号4个字节的整型
    LPVOID pTempFileBuffer = NULL;
    //LPVOID ---->  typedef void far *LPVOID;在WINDEF.H头文件里面；别名的void指针类型

    //打开文件
    pFile = fopen(lpszFile,"rb"); //lpszFile是当作参数传递进来
    if (!pFile)
    {
        printf("打开文件失败!
");
        return 0;
    }
    /*
    关于在指针类型中进行判断的操作，下面代码出现的情况和此一样，这里解释下：
    1.因为指针判断都要跟NULL比较，相当于0，假值，其余都是真值
    2.if(!pFile)和if(pFile == NULL), ----> 为空，就执行语句；这里是两个等于号不是一个等于号
    3.if(pFile)就是if(pFile != NULL), 不为空，就执行语句；
    */

    //读取文件内容后，获取文件的大小
    fseek(pFile,0,SEEK_END);
    fileSize = ftell(pFile);
    fseek(pFile,0,SEEK_SET);

    /*
    fseek 通过使用二进制的方式打开文件，移动文件读写指针的位置,在stdio.h头文件里

    int fseek(FILE * stream, long offset, int fromwhere);

    上面是fseek的函数原型
    第一个参数stream 为文件指针
    第二个参数offset 为偏移量，整数表示正向偏移，负数表示负向偏移
    第三个参数fromwhere 为指针的起始位置,设定从文件的哪里开始偏移,可能取值为：SEEK_CUR，SEEK_END，SEEK_SET
    SEEK_SET 0 文件开头
    SEEK_CUR 1 当前读写的位置
    SEEK_END 2 文件尾部

    下面是相关用法和例子：
　　fseek(fp,100L,0);把fp指针移动到离文件开头100字节处；
　　fseek(fp,100L,1);把fp指针移动到离文件当前位置100字节处；
    fseek(fp,100L,2);把fp指针退回到离文件结尾100字节处。
    fseek(fp,0,SEEK_SET);将读写位置移动到文件开头;
    fseek(fp,0,SEEK_END);将读写位置移动到文件尾时;
    fseek(fp,100L,SEEK_SET);将读写位置移动到离文件开头100字节处；
    fseek(fp,100L,SEEK_CUR);将读写位置移动到离文件当前位置100字节处；
    fseek(fp,-100L,SEEK_END);将读写指针退回到离文件结尾100字节处；
    fseek(fp,1234L,SEEK_CUR);把读写位置从当前位置向后移动1234字节;
    fseek(fp,0L,2);把读写位置移动到文件尾;
    其中 --->  L后缀表示长整数

    ftell()用于返回文件当前指针指向的位置，与fseek配合可以算出文件元素数据总数。
    参考：http://c.biancheng.net/cpp/html/2519.html

    ftell()函数用来获取文件读写指针的当前位置，其原型为：long ftell(FILE * stream); 同样在stdio.h头文件里
    参数：stream 为已打开的文件指针。
    */

    //动态申请内存空间
    pTempFileBuffer = malloc(fileSize);

    /*
    参考：http://c.biancheng.net/cpp/html/137.html
    原型：void* malloc (size_t size);
    size_t ---> typedef unsigned int size_t; 无符号整型别名是size_t
    void*  ---> 函数的返回值类型是 void* ；void并不是说没有返回值或者返回空指针，而是返回的指针类型未知;
    所以在使用 malloc() 时通常需要进行强制类型转换，将 void 指针转换成我们希望的类型;
    例如：char *ptr = (char *)malloc(10);  //分配10个字节的内存空间，用来存放字符
    参数说明 ---> size 为需要分配的内存空间的大小，以字节（Byte）计。
    函数说明 ---> malloc()在堆区分配一块指定大小的内存空间，用来存放数据。这块内存空间在函数执行完成后不会被初始化;
    它们的值是未知的，所以分配完成内存之后需要初始化；
    返回值:分配成功返回指向该内存的地址，失败则返回 NULL。
    */

    if (!pTempFileBuffer)
    {
        printf("内存分配失败!
");
        fclose(pFile);
        return 0;
    }

    //根据申请到的内存空间，读取数据

    size_t n = fread(pTempFileBuffer,fileSize,1,pFile);
    if (!n)
    {
        printf("读取数据失败!
");
        free(pTempFileBuffer);   // 释放内存空间
        fclose(pFile);           // 关闭文件流
        return 0;
    }

    //数据读取成功，关闭文件
    *pFileBuffer = pTempFileBuffer;  // 将读取成功的数据所在的内存空间的首地址放入指针类型pFileBuffer
    pTempFileBuffer = NULL;  // 初始化清空临时申请的内存空间
    fclose(pFile);           // 关闭文件
    return fileSize;         // 返回获取文件的大小
}


//通过复制FileBuffer并增加1000H到新的ImageBuffer里面
DWORD CopyFileBufferToNewImageBuffer(IN LPVOID pFileBuffer,IN size_t fileSize,OUT LPVOID* pNewImageBuffer)
{
    PIMAGE_DOS_HEADER pDosHeader = NULL;
    PIMAGE_NT_HEADERS pNTHeader = NULL;
    PIMAGE_FILE_HEADER pPEHeder = NULL;
    PIMAGE_OPTIONAL_HEADER32 pOptionHeader = NULL;
    PIMAGE_SECTION_HEADER pSectionHeader = NULL;
    PIMAGE_SECTION_HEADER pLastSectionHeader = NULL;
    LPVOID pTempNewImageBuffer = 0;
    DWORD sizeOfFile = 0;
    DWORD numberOfSection = 0;
    DWORD okAddSections = 0;
    

    //判断读取pFileBuffer读取是否成功
    if (!pFileBuffer)
    {
        printf("缓冲区指针无效
");
        return 0;
    }

    //判断是否为MZ标志

    if ((*(PWORD)pFileBuffer) != IMAGE_DOS_SIGNATURE)// IMAGE_DOS_SIGNATURE --> MZ
    {
        printf("不是一个有效的MZ标志
");
        return 0;
    }

    //判断是否为PE标志
    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;
    if (*((PWORD)((DWORD)pFileBuffer + pDosHeader->e_lfanew)) != IMAGE_NT_SIGNATURE) // IMAGE_NT_SIGNATURE --> PE
    {
        printf("不是有效的PE标志
");
        return 0;
    }

//*********************申请开辟内存空间*****************************************************************

    sizeOfFile = fileSize+0x1000;
    pTempNewImageBuffer = malloc(sizeOfFile);

    //判断内存空间开辟是否成功
    if (!pTempNewImageBuffer)
    {
        printf("pTempNewImageBuffer开辟内存空间失败
");
        return 0;
    }

    //初始化内存内容
    memset(pTempNewImageBuffer,0,sizeOfFile);

    //初始化完成之后，先把为修改的内存空间全部拷贝到新的内存空间
    memcpy(pTempNewImageBuffer,pFileBuffer,fileSize);

    //定位Dos头地址
    pDosHeader = (PIMAGE_DOS_HEADER)(pTempNewImageBuffer);

    //定位NT头的地址
    pNTHeader = (PIMAGE_NT_HEADERS)((DWORD)pTempNewImageBuffer+pDosHeader->e_lfanew);

    //定位标志PE头地址
    pPEHeder = (PIMAGE_FILE_HEADER)(((DWORD)pNTHeader)+0x04);//PE SIGNATURE 站4个字节

    //定位可选PE头地址
    pOptionHeader = (PIMAGE_OPTIONAL_HEADER32)(((DWORD)pPEHeder)+IMAGE_SIZEOF_FILE_HEADER);//IMAGE_SIZEOF_FILE_HEADER -> 20个字节

    //定位第一个节表地址
    pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionHeader + pPEHeder->SizeOfOptionalHeader);

    //定位最后一个节表的地址
    pLastSectionHeader = &pSectionHeader[pPEHeder->NumberOfSections-1];

    //判断是否有足够的空间添加一个节表
    //判断条件：
    /*
        SizeOfHeader - (DOS + 垃圾数据 + PE标记 + 标准PE头 + 可选PE头 + 已存在节表) >= 2个节表的大小
        SizeOfHeader在可选PE头里面
    */

    okAddSections = (DWORD)(pOptionHeader->SizeOfHeaders - (pDosHeader->e_lfanew + 0x04 + 
        sizeof(PIMAGE_FILE_HEADER) + pPEHeder->SizeOfOptionalHeader + sizeof(PIMAGE_SECTION_HEADER) 
        * pPEHeder->NumberOfSections));

    if (okAddSections < 2*sizeof(PIMAGE_SECTION_HEADER))
    {
        printf("这个exe文件头不剩余空间不够
");
        free(pTempNewImageBuffer);
        return 0;
    }

    //上面没问题，就开始修改内容了
//*************************修改内容*******************************************************************

    //初始化新节表信息
    PWORD pNumberOfSection = &pPEHeder->NumberOfSections;
    PDWORD pSizeOfImage = &pOptionHeader->SizeOfImage;

    numberOfSection = pPEHeder->NumberOfSections;
    PVOID pSecName = &pSectionHeader[numberOfSection].Name;
    PDWORD pSecMisc = &pSectionHeader[numberOfSection].Misc.VirtualSize;
    PDWORD pSecVirtualAddress = &pSectionHeader[numberOfSection].VirtualAddress;
    PDWORD pSecSizeOfRawData = &pSectionHeader[numberOfSection].SizeOfRawData;
    PDWORD pSecPointToRawData = &pSectionHeader[numberOfSection].PointerToRawData;
    PDWORD pSecCharacteristics = &pSectionHeader[numberOfSection].Characteristics;
   
    //修改PE文件头里面的节数量信息

    printf("*pNumberOfSection:%#X 
",pPEHeder->NumberOfSections);
    *pNumberOfSection = pPEHeder->NumberOfSections + 1;
    printf("*pNumberOfSection:%#X 
",pPEHeder->NumberOfSections);
    
    //修改PE可选头里面SizeOfImage信息
    printf("*pSizeOfImage:%#X 
",pOptionHeader->SizeOfImage);
    *pSizeOfImage = pOptionHeader->SizeOfImage + 0x1000;
    printf("*pSizeOfImage:%#X 
",pOptionHeader->SizeOfImage);

    //向节表中添加数据

    memcpy(pSecName,".newSec",8);
    *pSecMisc = 0x1000;
    //这里VirtualAddress的地址需要根据最后一个节表中对齐前内存中的实际大小?
    //和文件中对齐后的大小，分别使用VirtualAddress加上她们的值，哪个大，就是
    //哪个；
    //VirtualAddress+max(VirtualSize,SizeOfRawData)
    //就是上面的公式

    //判断出要添加的值
    DWORD add_size = pLastSectionHeader->Misc.VirtualSize > pLastSectionHeader->SizeOfRawData?
        pLastSectionHeader->Misc.VirtualSize:pLastSectionHeader->SizeOfRawData;
    //上面是个三目运算符

    printf("pLastSectionHeader: %#X 
",pLastSectionHeader);    
    printf("add_size: %#X 
",add_size);
    printf("numberOfSection: %#X 
",pPEHeder->NumberOfSections);
    printf("pLastSectionHeader->Misc.VirtualSize: %#X 
",pLastSectionHeader->Misc.VirtualSize);
    printf("pLastSectionHeader->SizeOfRawData: %#X 
",pLastSectionHeader->SizeOfRawData);
    printf("add_size: %#X 
",add_size);

    *pSecVirtualAddress = pLastSectionHeader->VirtualAddress + add_size;

    //SectionAlignment对齐

    if (*pSecVirtualAddress % pOptionHeader->SectionAlignment)
    {
        *pSecVirtualAddress = *pSecVirtualAddress / pOptionHeader->SectionAlignment * 
            pOptionHeader->SectionAlignment + pOptionHeader->SectionAlignment;
    }

    *pSecSizeOfRawData = 0x1000;
    *pSecPointToRawData = pLastSectionHeader->PointerToRawData + pLastSectionHeader->SizeOfRawData;

    //FileAlignment对齐

    if (*pSecPointToRawData % pOptionHeader->FileAlignment)
    {
        *pSecPointToRawData = *pSecPointToRawData / pOptionHeader->FileAlignment * 
            pOptionHeader->FileAlignment + pOptionHeader->FileAlignment;
    }

    *pSecCharacteristics = 0xFFFFFFFF;

    *pNewImageBuffer = pTempNewImageBuffer;
    pTempNewImageBuffer = NULL;
    
    return sizeOfFile;
}

BOOL MemeryTOFile(IN LPVOID pMemBuffer,IN size_t size,OUT LPSTR lpszFile)
{
    FILE* fp = NULL;
    fp = fopen(lpszFile, "wb+");
    if (!fp)  //  这里我刚开始写漏了一个等于号，变成复制NULL了，导致错误
//  if(fp == NULL)  可以这么写，没问题
    {
        fclose(fp);
        return FALSE;
    }
    fwrite(pMemBuffer,size,1,fp);
    fclose(fp);
    fp = NULL;
    return TRUE;
}

调用上面代码的函数部分代码

VOID NewSectionsInCodeSec()
{
    LPVOID pFileBuffer = NULL;
    LPVOID pNewImageBuffer = NULL;
    BOOL isOK = FALSE;
    DWORD size1 = 0;
    DWORD size2 = 0;
    
    //File-->FileBuffer
    size1 = ReadPEFile(FilePath_In,&pFileBuffer);
    if (size1 == 0 || !pFileBuffer)
    {
        printf("文件-->缓冲区失败
");
        return ;
    }
    printf("fileSize - Final: %#X 
",size1);
    
    //FileBuffer-->NewImageBuffer
    size2 = CopyFileBufferToNewImageBuffer(pFileBuffer,size1,&pNewImageBuffer);
    if (size2 == 0 || !pFileBuffer)
    {
        printf("FileBuffer-->NewImageBuffer失败
");
        free(pFileBuffer);
        return ;
    }
    printf("sizeOfFile - Final: %#X 
",size2);
    //NewImageBuffer-->文件
    isOK = MemeryTOFile(pNewImageBuffer,size2,FilePath_Out);
    if (isOK)
    {
        printf("新增节表和节存盘成功
");
       return ;
    }
    
    //释放内存
    free(pFileBuffer);
    free(pNewImageBuffer);
}

用户程序入口main执行代码部分

#include "stdafx.h"
#include "gbpeall.h"

int main(int argc, char* argv[])
{
    NewSectionsInCodeSec();
    printf("Hello World! Cntf
");
    return 0;
}

执行结果：

查看效果：

本次操作未添加ShellCode测试；