最近老是盯着ＰＥ文件看，看它有什么秘密在里面，于是就产生了这样一个想法：构造一个ＰＥ头，构造自己的区段表,接着在.text中填一些机器码，当然还要构造自己的输入表，我想通过这种方式来实现一个程序．下面就是我的操作过程：
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
(-),首先构造一个PE头
->DOS Header
   e_magic:     0x5A4D
   e_cblp:      0x0000
   e_cp:        0x0000
   e_crlc:      0x0000
   e_cparhdr:   0x0000
   e_minalloc:  0x0000
   e_maxalloc:  0x0000
   e_ss:        0x0000
   e_sp:        0x0000
   e_csum:      0x0000
   e_ip:        0x0000
   e_cs:        0x0000
   e_lfarlc:    0x0000
   e_ovno:      0x0000
   e_res:       0x0000000000000000
   e_oemid:     0x0000
   e_oeminfo:   0x0000
   e_res2:      0x0000000000000000000000000000000000000000
   e_lfanew:    0x00000040

->File Header
   Machine:               0x014C  (I386)
   NumberOfSections:      0x0001
   TimeDateStamp:         0x45B9CD97  (GMT: Fri Jan 26 09:44:55 2007)
   PointerToSymbolTable:  0x00000000
   NumberOfSymbols:       0x00000000
   SizeOfOptionalHeader:  0x00E0
   Characteristics:       0x010F
                          (RELOCS_STRIPPED)
                          (EXECUTABLE_IMAGE)
                          (LINE_NUMS_STRIPPED)
                          (LOCAL_SYMS_STRIPPED)
                          (32BIT_MACHINE)

->Optional Header
   Magic:                        0x010B  (HDR32_MAGIC)      ；书上说一般都是这个值
   MajorLinkerVersion:           0x05                     
   MinorLinkerVersion:           0x0C  -> 5.12               ；好多程序都是这个值        
   SizeOfCode:                   0x00000200                  ；通常情况下和.text块的大小匹配
   SizeOfInitializedData:        0x00000200
   SizeOfUninitializedData:      0x00000000
   AddressOfEntryPoint:          0x00001000
   BaseOfCode:                   0x00001000
   BaseOfData:                   0x00002000                  
   ImageBase:                    0x00400000
   SectionAlignment:             0x00001000                 ；这个值是最小的了
   FileAlignment:                0x00000200                 ；这个也是
   MajorOperatingSystemVersion:  0x0004
   MinorOperatingSystemVersion:  0x0000  -> 4.00
   MajorImageVersion:            0x0000
   MinorImageVersion:            0x0000  -> 0.00
   MajorSubsystemVersion:        0x0004
   MinorSubsystemVersion:        0x0000  -> 4.00
   Win32VersionValue:            0x00000000                 ；Reserved，以上都是常见的值
   SizeOfImage:                  0x00003000                 //内存镜象大小
   SizeOfHeaders:                0x00000200                    ；从文件的开头到第一节的原始数据的偏移量
   CheckSum:                     0x00000000
   Subsystem:                    0x0002  (WINDOWS_GUI)
   DllCharacteristics:           0x0000
   SizeOfStackReserve:           0x00100000                 ；以下的数据都是程序中常见的
   SizeOfStackCommit:            0x00001000
   SizeOfHeapReserve:            0x00100000
   SizeOfHeapCommit:             0x00001000
   LoaderFlags:                  0x00000000
   NumberOfRvaAndSizes:          0x0000000F

   DataDirectory (F)            RVA        Size
   -------------                 ---------- ----------
   ExportTable                   0x00000000 0x00000000
   ImportTable                   0x00002000 0x0000003C  
   Resource                      0x00000000 0x00000000
   Exception                     0x00000000 0x00000000
   Security                      0x00000000 0x00000000
   Relocation                    0x00000000 0x00000000
   Debug                         0x00000000 0x00000000
   Copyright                     0x00000000 0x00000000
   GlobalPtr                     0x00000000 0x00000000
   TLSTable                      0x00000000 0x00000000
   LoadConfig                    0x00000000 0x00000000
   BoundImport                   0x00000000 0x00000000
   IAT                           0x00000000 0x00000000  
   DelayImport                   0x00000000 0x00000000
   COM                           0x00000000 0x00000000
   Reserved                      0x00000000 0x00000000
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

（二）下面到块表了(剩下那些字段全部填0了)。。
Name    VSize    VAddress    RSize    Roffset    characterstics
.TEXT    526     1000        200      200         60000020
.RDATA   592     2000        200      400        E0000040

接着就是我自己的代码了，当然是最简单的！
我把数据也放到.RDATA区段。
这些代码很多我是借住ＯＤ查看得来的(先写代码，在ＯＤ打开)
'pediy'                         5B0------004021B0
'abaK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4K6t1%4i4K6t1$3L8X3u0K6M7q4)9K6b7R3`.`.      5C1------004021C1

PUSH 0                                           6A00                                  
push  'c2dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4K6t1%4i4K6t1$3L8X3u0K6M7q4)9K6b7R3`.`.                        68 C1214000   //指向e41K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4m8W2k6r3W2&6i4K6u0W2j5$3!0E0
PUSH  'pediy'                                         68 B0214000
push  0                                                 6A00
call  MessageBoxA                                E8 07000000  //也就是向前跳7个字节吧
push  0                                          6A00
call  ExitProcess                                E8 06000000  
jmp   MessageBoxA                                FF25 B0204000  //跳到IMAGE_THUNK_DATA
jmp   ExitProcess                                FF25 B8204000

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

（三）程序中引入了两个函数，这就得为它构造两个IID。。。。

MessageBoxA    44c--->204c----0040204c
ExitProcess    466--->2066--->00402066

User32.dll     45A--->205A--->0040205A
Kelnel32.dll   474--->2074--->00402074

IMAGE_THUNK_DATA (把它放在了地址4B0，4B8处)
B0200000 00000000   以0结束
B8200000 00000000

IMAGE_IMPORT_DIRECTORY
OrignFirstThunk      TimeDateStamp    ForWarderChain          Name1            FirstThunk
00000000                00000000        00000000         5a200000   B0200000
00000000                00000000        00000000         74200000   B8200000

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
（四）将这些数据保存为pediy.exe
，结果见附件，都是我自己构造的数据，你可以用二进制编辑工具打开
再次感谢dummy

[培训]科锐逆向工程师培训第53期2025年7月8日开班！