内存运行模块开源

supeng4676

aiksie 发表于 2020-4-18 15:22
要解决没有重定位表的EXE，就是让编译器自己生成一个重定位表。EXE 没有重定位表的，通过修改link.ini， ...

内存运行肯定是从外部程序入手啊.所以你说的修改编译器配置很难拓展啊,...一般的exe是没有重定位表的.没有重定位表的话,就要手动修复一部分xx了啊.有点难,但是不是特别难.有人搞过,貌似说很轻松,起码比shellcode轻松.我一直停留在理论,说错了见怪莫怪哈

aiksie

supeng4676 发表于 2020-4-13 22:14
这么说吧,比如你要hook绝di求生的d3d函数,现在基本上都是各种dll注入到绝di求生的进程,然后dll就是辅助的 ...

要解决没有重定位表的EXE，就是让编译器自己生成一个重定位表。EXE 没有重定位表的，通过修改link.ini，编译器自己会生成重定位表，这是最简单、最有效的。

没有重定位表的 如果要自己根据程序，来计算需要重定位的地址，基本是不太可能的，一个CALL XXXX,一个PUSH XXXX等等都有可能被错误处理，我利用反汇编引擎 BeaEngine，将字节集转换为汇编指令，然后取出重定位地址重新修正，虽然搞定了代码段，但xx段还是有问题，因为你根本就无法判断这是不是需要被重定位，有的时候一个字符串也被当成重定位地址处理了。如果你的代码里面包含如00401000这样的地址，同样的也会被当成重定位处理，而编译器生成的重定位表就不会出现这样的错误。
我试过将一个没有重定位表的程序重定位，虽然内存运行成功，但是仍然有问题。

szxiao

谢谢楼主！非常好！

aiksie

泆羽 发表于 2020-4-16 21:25
大佬问个问题，这个模块如何指定内存中exe的当前路径呢   我把我得程序内存运行，就取不到当前运行路径了

你是怎么写的？ 内存运行EXE？ 取运行目录？

泆羽

大佬问个问题，这个模块如何指定内存中exe的当前路径呢   我把我得程序内存运行，就取不到当前运行路径了

易友软件

顶顶更健康~

xeixei

在内存中运行到底有啥好处？

哒00哒

在服务器内存运行直接崩溃，测试用官方DEMO也是一样，请求楼主修复，服务器系统 windows server 2012 R2 Datacenter

supeng4676

遵义静以修身 发表于 2020-4-11 18:27
感谢大佬，但是我想问一句，在内存中运行到底有啥好处？

这么说吧,比如你要hook绝di求生的d3d函数,现在基本上都是各种dll注入到绝di求生的进程,然后dll就是辅助的代码,这样dll的代码才能顺利访问绝地的各种内存,注入成功之后,就要用各种方法去过检测.很是麻烦.
如果把绝di求生的exe加载到咱们自己的进程空间里面来的话.那么我们不仅可以不用dll注入就可以访问内存.而且貌似这样不容易被检测到唉.楼主的帖子很好啊,我一直想做一个呢,但是重定位表修复比较麻烦.导入导出表偶尔也会出错.
看了一下楼主仍然没有办法解决重定位表的问题,而且大部分exe是不需要重定位表的.

aiksie

ds9660 发表于 2020-4-12 00:14
测试，无法内存加载 dll，不知道为什么？

我看过了这个dll，编程语言：Visual Basic.NET，不是易语言编写的，VB.Net需要在.Net Framework平台上才能执行。加载这个dll，本身就需要安装.NET Framework 环境，然后这个dll的文件信息特征值是{2，33}，我内存运行并没有匹配到。正常调用这个dll，发现这个dll会被加载2次，并且调用函数不是在dll本身，而是在它申请的内存，总而言之这个dll不走寻常路，内存运行失败是正常的。如果要内存运行这个dll，必须要搞清这个dll的运行流程。我建议你拿易语言编写的dll进行测试。