内存加载PE技术研究

内容纲要

一，背景

最近研究内存加载DLL技术，这个技术大概10年前的技术，用搜索引擎可以找到很多资料，我自己按照思路，综合其他各种实现思路，大概弄懂核心思路。

市面开源主流代码：

1：PE加载器，可以加载大部分程序，我测试TIM，微信都是可以，加壳的程序没有测试,代码写的非常专业，

https://github.com/polycone/pe-loader

2：DLL加载器，没有进程信息修改，貌似支持64位。

https://github.com/fancycode/MemoryModule

二，PE核心步骤

导入表修复
重定位表修复
进程信息修复（加载EXE才需要，DLL不需要）

三，疑惑问题？

1：为什么需要修复？

因为我们手动加载到内存，然后跳转到入口地址，开始执行代码，因为代码地址都是写死，每次加载都需要系统自动去修改，但我们手动加载就必须手动修改，所以才有修改导入表和重定位表。

因为我们调用函数和一些全局变量都是死地址，这些死地址记录在重定位表里面，所以我们需要修复他。

导入表记录API的地址，PE文件只记录名字或者序号，系统加载的DLL或者EXE会默认修改导入表的FristThunk（IAT），这里面保存API的地址，我们调用系统API的时候，我们调用的系统API的时候。我们调用导入表call的地址。

int main() {
    MessageBox(0, L"hello world", 0, 0);
    return 0;
}

CALL IAT对应变量（变量含有真的地址，我们IAT HOOK时候只要修改这个地址就可以了）

2：对齐？

分为内存对齐和文件对齐，PE文件结构很多大小都是安装对应的对齐，PE文件保存了文件数据和内存数据，所以刚开始很容易搞混，说白就是告诉你文件怎么读和内存怎么读而已。因为PE是编译生成好的。

内存对齐：windows中，内存属性的基本单位是页，在32位系统是4KB(1000h)，在64位系统中是8kb。
文件对齐：为了提高磁盘利用率，把一个物理扇区作为一个对齐粒度的大小，也就是12字节（200H）,这是每个数据段都是200H的整数倍的原因。

为什么需要对齐的原因，性能问题。

3：偏移

所有都是基地址为偏移，内存加载就是内存分配起始地址做偏移

4：什么是导入表？

记录程序用哪些系统的API，同时加载后会被系统初始化，提供系统API的真正的地址，要软件能正常调用

资料：https://blog.csdn.net/Apollon_krj/article/details/77417063

5：什么是重定位表？

记录生成EXE或者DLL 函数死地址，如果重定向，就需要进行修改，默认是系统修改。但内存加载必须手动修改。

6：为什么会要重定向？

这种情况基本出现DLL，exe感觉永远不会，他是第一个模块加载，可以优先选位置，这个就好比我们小时候选读书的位置一样，每个都有选位置权利，我们默认可能都是最好一排,但如果我们的位置已经被人选择了，那么我们就只能选择其他的位置。我们编译程序默认按照最好位置涉及，一旦你的位置改变了，那么所有地址都需要更新。

7：为什么进程修复？（只针对EXE的情况）

我们加载的EXE，其实相当于一个新的模块，系统默认不知道的，所以当我们程序获取模块信息会获取不到或者错误，导致逻辑错乱。程序运行不了。如果不进行进程修复，MFC程序不可以内存直接运行的话，因为调用GetMoudleFileName 会获取为空。因为传入hinstance是我们假的地址，这个时候只要我们修改peb的里面模块List 基地址和peb的模块地址就可以了，改成内存new的地址。代码可以借鉴PE-LOADER。

这里PE-loader还对的一些进行hook