读取的内存数据怎么写为可执行文件

Eric_Yang · 发表于 2022-9-17 12:40:27

如题，我想做个内存转储工具，把内存读入后写为exe程序，可以放到od x64deg这些工具中调试

但是读字节集后直接写出exe文件导出x64dbg会提示无效的pe文件结构

请问要怎么给这段内存添加结构头，使这段内存变为可执行文件可以让调试器调试

pe结构看了半天也没看明白，有没有方法，源码或者教程

影子需要光 · 发表于 2022-9-17 14:24:12

如果程序加壳了，特别是一些加密壳类似vm的壳，脱壳是非常麻烦的。甚至很多程序是没办法完全脱干净处理加密数据的，一般就是动态调试找你需要的数据。

内存转储工具，x96dbg带一个scylla，很好用。

Eric_Yang · 发表于 2022-9-17 14:39:51

影子需要光发表于 2022-9-17 14:24
如果程序加壳了，特别是一些加密壳类似vm的壳，脱壳是非常麻烦的。甚至很多程序是没办法完全脱干净处理加密 ...

我是想要自己制作一个缓存内存为exe文件的工具，然后可以放到x64dbg调试，但是读取内存数据再直接写为exe会提示无效的pe结构然后想了解一下怎么给读到的数据添加结构让它可以使用x64dbg调试

影子需要光 · 发表于 2022-9-17 14:48:06

Eric_Yang 发表于 2022-9-17 14:39
我是想要自己制作一个缓存内存为exe文件的工具，然后可以放到x64dbg调试，但是读取内存数据再直接写为exe ...

其实你可以想一下，如果你只存一段内存下来，你不仅需要自己修复PE结构，还要修复那些用到的变量子程序以及其他的数据，相当于你重写了一份原程序。所以这个想法是走入了误区。

至于说那些UPX ASP压缩壳，52上面很老的教程都有修复壳的教程，加密壳现在起步就是低配VM，也有人教脱壳思路，但是真的脱壳投入的成本肯定不如自己重新写一个功能出来。

Eric_Yang · 发表于 2022-9-17 17:48:07

影子需要光发表于 2022-9-17 14:48
其实你可以想一下，如果你只存一段内存下来，你不仅需要自己修复PE结构，还要修复那些用到的变量子程序以 ...

但是x64dbg的那个插件没有用啊我要的是从进程入口还是获取内存，它最近的获取的地址比入口偏移了很大一个数字，偏移都上百万了，已经超出我要的内存范围了

影子需要光 · 发表于 2022-9-17 18:01:19

Eric_Yang 发表于 2022-9-17 17:48
但是x64dbg的那个插件没有用啊我要的是从进程入口还是获取内存，它最近的获取的地址比入口偏移了很大一 ...

有修正转储。也可以选择指定模块转储

Eric_Yang · 发表于 2022-9-17 20:18:35

影子需要光发表于 2022-9-17 18:01
有修正转储。也可以选择指定模块转储

指定了但是没有用，还是转储的那个地址就很烦

影子需要光 · 发表于 2022-9-17 22:50:42

Eric_Yang 发表于 2022-9-17 20:18
指定了但是没有用，还是转储的那个地址就很烦

什么程序。我认为是你操作有问题

Eric_Yang · 发表于 2022-9-24 20:24:58

影子需要光发表于 2022-9-17 22:50
什么程序。我认为是你操作有问题

GTA5呀，你试试咯

		自动登录	找回密码
密码			注册

[求助] 读取的内存数据怎么写为可执行文件