【进阶】《Windows PE 权威指南》

小甲鱼

- G5 R" Q  \2 k书名：《Windows PE 权威指南》
作者：戚利
) q& I# i4 L$ J* v2 q$ O" n出版社：机械工业出版社
出版年：2011年10月10日
# p- y4 q; b# B6 ~, z# V定价：89.00元
装帧：平装
ISBN：9787111354185

购买链接：
, u( Y, c. W" D

---

亚马逊（kindle）-> 传送门

当当网 -> 传送门
/ _2 p+ q6 Z- d  {, p6 {: E
6 b( M: F6 @/ Z! v* h京东 -> 传送门

# T  W4 s2 z! p3 e5 W
内容简介：

---

; C+ N5 d; L8 Z# q. J     内容全面，详尽地剖析了 Windows PE 文件格式的原理及其编程技术，涉及安全领域的各个方面和 Windows 系统的进程管理和底层机制；实战性强，以案例驱动的方式讲解了 Windows PE 文件格式在加密与解密、软件汉化、逆向工程、反病毒等安全领域的应用，不仅每个知识点都配有小案例，而且还有多个完整的商业案例。

$ Q$ }3 l5 t; U" b& c     戚利编著的《Windows PE 权威指南》共分为三大部分：第一部分简单介绍了学习本书需要搭建的工作环境和必须具备的工具，深入分析了 PE 文件头、导入表、导出表、重定位表、资源表、延迟导入表、线程局部存储、加载配置信息等核心技术的概念、原理及其编程方法，有针对性地讲解了程序设计中的重定位、程序堆栈、动态加载等；第二部分讨论了 PE 头部的变形技术及静态附加补丁的技术，其中静态附加补丁技术重点讲解了如何在空闲空间、间隙、新节、最后一节四种情况下打补丁和进行编码的方法；第三部分精心编写了多个大型而完整的 PE 应用案例，以 PE 补丁作为重要手段，通过对目标 PE 文件实施不同的补丁内容来实现不同的应用，详细展示了 EXE 捆绑器、软件安装自动化、EXE 加锁器、EXE 加密、PE 病毒提示器以及 PE 解毒的实现过程和方法。

* H) j% k  P( T; K: w) t% X3 j     《Windows PE 权威指南》不仅适合想深入理解 Windows 系统进程管理和运作机制的读者，而且还适合从事加密与解密、软件汉化、逆向工程、反病毒工作的安全工作者。此外，它还适合想全面了解 Windows PE 文件结构和对程序字节码感兴趣的读者。


目录：
( z# _" h5 A! O

---

前言
& a1 V* x& M2 T* p* L. a
第一部分 PE的原理和基础
* s! H" W1 p8 D! j& O% B
第1章 Windows PE 开发环境/2

1.1 开发语言MASM32 /2
1.1.1 设置开发环境/3
1.1.2 开发第一个源程序HelloWorld.asm /5
1.1.3 运行HelloWorld.exe /7
; X/ K( c2 i) {2 T2 T; S; _+ p, F1.2 调试软件OllyDBG /10
) i5 K8 v. d  z5 B4 p5 K! ]3 b1.2.1 调试HelloWorld.exe /10
1 |  |) Y" t* B0 r" t. H3 Z' |& x1.2.2 修改EXE文件字节码 /16
1.3 十六进制编辑软件FlexHex /18
1.4 破解实例：U盘监控器 /20
1.5 初识PE文件 /23
1.6 小结 /26
' Q" Q7 V8 {; q( J/ H
% R4 c, N& d8 L1 |/ N1 d第2章 三个小工具的编写/27
' m; |3 z% W2 |! T% [6 X3 y
2.1 构造基本窗口程序/27
& R' s* z+ Y) P+ S3 C6 ]1 U2.1.1 构造窗口界面/27
! w% b/ ]- o2 i2.1.2 编写相关的资源文件/28
1 S# S2 {0 f: B2.1.3 通用程序框架的实现/29
5 F3 G8 a5 h- d6 q0 @, k9 K2.2 PEDump的实现/32
: ]% q" t% q+ D8 O: F5 _2.2.1 编程思路/32
" L& M9 E. N0 C2.2.2 PEDump编码/34
2.2.3 PEDump代码中的数据结构/38
  m; m; y1 S) J4 m5 b& S# V2.2.4 运行PEDump /39
2.3 PEComp的实现/40
2.3.1 编程思路/41
( J5 b$ O1 {; k* h7 _; ^. T2.3.2 定义资源文件/41
2.3.3 PEComp编码/41
$ {( B) I& ~8 `& ?- a& O2.3.4 运行PEComp /47
2 Y4 Z, ]( L8 ^4 M' g% Z" @- |' f6 u2.4 PEInfo的实现/47
6 m) _$ V+ i4 h7 `/ H2.4.1 编程思路/48
2.4.2 PEInfo编码/48
5 E: N' v( y# o7 |# P% [, ~4 Y) `% ^# M2.4.3 运行PEInfo /52
2.5 小结/53
* w/ F) l/ ^! C6 \# `8 B- }% b* B
9 W$ a% J; K3 C- o$ d* @第3章 PE文件头/54

; U/ T) Q6 {# o8 `1 t& p" P3.1 PE的数据组织方式/54
% |$ B0 ~  K# a$ i! I2 A  J, U" s3.2 与PE有关的基本概念/58
- X9 E8 p& ], ?3.2.1 地址/58
) S- B4 A% L9 g( ~" S; p3.2.2 指针/60
, W- n8 u1 ?% Z- o3.2.3 数据目录/60
3.2.4 节/60
3.2.5 对齐/61
3.2.6 Unicode字符串/62
; n) I+ F/ A2 O3 O5 Y" ^3.3 PE文件结构/62
3.3.1 16位系统下的PE结构/62
3.3.2 32位系统下的PE结构/66
3.3.3 程序员眼中的PE结构/68
: Q3 p$ M9 r$ q3 ?2 b8 w: D3.4 PE文件头部解析/69
4 @- ]- L9 t% k$ u! X3 m& ]3.4.1 DOS MZ头IMAGE_DOS_HEADER /69
5 t- x* P7 q1 U/ U& s3.4.2 PE头标识Signature /69
2 x$ [$ J& L! x; [  C0 ~! ]4 w3.4.3 标准PE头IMAGE_FILE_HEADER /70
1 q& f# |+ D9 U) b3.4.4 扩展PE头IMAGE_OPTIONAL_HEADER32 /70
3.4.5 PE头IMAGE_NT_HEADERS /71
3.4.6 数据目录项IMAGE_DATA_DIRECTORY /71
4 ?) m6 f7 g- z& O) r3.4.7 节表项IMAGE_SECTION_HEADER /74
3.5 数据结构字段详解/74
' w( {, Q3 f3 F/ G! X; u8 J3.5.1 PE头IMAGE_NT_HEADER的字段/75
7 y9 x- G; X- B+ C$ J1 Q3.5.2 标准PE头IAMGE_FILE_HEADER的字段/75
3.5.3 扩展PE头IMAGE_OPTIONAL_HEADER32的字段/78
3.5.4 数据目录项IMAGE_DATA_DIRECTORY的字段/87
3.5.5 节表项IMAGE_SECTION_HEADER的字段/87
3.5.6 解析HelloWorld程序的字节码/88
3.6 PE内存映像/92
3.7 PE文件头编程/93
3.7.1 RVA与FOA的转换/93
3.7.2 数据定位/95
6 x) Y. {: r7 I; d' d3.7.3 标志位操作/101
+ N5 [  `" l/ J& r6 t3 h3.7.4 PE校验和/102
3.8 小结/104

5 S3 X& y. a0 h7 c第4章 导入表/105
( w, }" q) P( Y; q* I  K6 x# p$ J
) o+ [' ^: B  i, H8 y4.1 何谓导入表/105
4.2 导入函数/105
2 t- z( Y5 B" g4 g( Z4.2.1 invoke指令分解/106
4.2.2 导入函数地址/107
4.2.3 导入函数宿主/109
( x- ~4 _7 s2 e: Z4.3 PE中的导入表/112
, n; R0 K* {! H9 W$ K/ [' }' T1 G$ ~# B4.3.1 导入表定位/112
/ y6 @! o, Z) G' M( J# z  M4.3.2 导入表描述符IMAGE_IMPORT_DESCRIPTOR /113
4.3.3 导入表的双桥结构/114
1 W, E* l& s- E* p* }9 ~4.3.4 导入函数地址表/116
4.3.5 构造调用同一个DLL文件的多个函数的导入表/117
4.4 导入表编程/121
1 E- ~8 D  l# H) i# h8 P4 t  v" e4.4.1 导入表遍历的思路/121
4.4.2 编写函数_getImportInfo /122
+ ^; ~( O. ?& h8 X5 @% A4 c4.4.3 运行测试/124
4.5 绑定导入/124
4.5.1 绑定导入机制/124
4 d9 X' h' z% O; @, [) \4.5.2 绑定导入数据定位/125
4.5.3 绑定导入数据结构/126
4.5.4 绑定导入实例分析/127
4.6 手工重组导入表/128
4.6.1 常用注册表API /128
4.6.2 构造目标指令/132
4.6.3 PE头部变化/135
# V0 U, {2 G; r: t8 G' a4.6.4 手工重组/136
4.6.5 程序实现/141
6 Q) D7 |# B5 @1 G" |, L4.6.6 思考：关于IAT的连贯性/142
. i  g" u! c& r: X5 u" B8 i! y( c4.6.7 思考：关于导入表的位置/143
4.7 小结/144

第5章 导出表/145

8 @4 s% B6 }- c, O* O9 f+ F' m& R5.1 导出表的作用/145
5.1.1 分析动态链接库功能/145
5.1.2 获得导出函数地址/146
5.2 构造含导出表的PE文件/146
5.2.1 DLL源代码/147
0 }4 {# ^9 ~% s4 p6 ?& F( q% N5.2.2 编写def文件/151
5.2.3 编译和链接/152
* q- ^% C0 P0 T5.2.4 编写头文件/152
. j8 \# Y2 p, T/ {" I+ D6 r) S5.2.5 使用导出函数/152
  H( J; Z4 o$ Q3 z. Z3 g5.3 导出表数据结构/155
' H! O4 l" Y/ \6 z. F8 i  t5.3.1 导出表定位/155
5.3.2 导出目录IMAGE_EXPORT_DIRECTORY/156
5.3.3 导出表实例分析/158
5.4 导出表编程/160
; i8 Q* G; D: V# _3 f0 ?! u8 L5.4.1 根据编号查找函数地址/160
5.4.2 根据名字查找函数地址/160
  }5 b+ }4 T5 Z5.4.3 遍历导出表/162
5.5 导出表的应用/165
' P7 u9 z- K* w& L% ^; h% P" ?; ?1 _5.5.1 导出函数覆盖/165
5.5.2 导出私有函数/167
% a& X+ h. g3 n5 w5.6 小结/169
$ P4 b5 b3 o( J; M# F$ W! U
第6 章 栈与重定位表/170

1 \+ F) i8 I( v+ E% E- I6.1 栈/170
6.1.1 栈的应用场合/170
6.1.2 call调用中的栈实例分析/173
0 T" O: f/ N% a5 X. U) U6.1.3 栈溢出/177
; j6 D* ^" s. Q( g6.2 代码重定位/181
6.2.1 重定位的提出 /181
6.2.2 实现重定位的方法/182
) P+ a5 A) ~4 |$ m8 u6 v6.2.3 重定位编程/183
" B- E! m6 G% S8 z2 H9 ~$ s$ t6.3 PE文件头中的重定位表/189
6.3.1 重定位表定位/189
) @4 j2 c# p6 U- ]! g4 }6.3.2 重定位表项IMAGE_BASE_RELOCATION /190
: e7 u% g6 R/ m( O6.3.3 重定位表的结构/191
6.3.4 遍历重定位表/192
6.3.5 重定位表实例分析/195
6.4 小结/196

第7章 资源表/197

; I+ y5 M) i7 S2 M; }7.1 资源分类/197
7.1.1 位图、光标、图标资源/199
7.1.2 菜单资源/199
7.1.3 对话框资源/200
7.1.4 自定义资源/201
7.2 PE资源表组织/202
7.2.1 资源表的组织方式/202
4 K/ c" H$ F1 Y2 m# P6 X  ?; M/ q7.2.2 资源表数据定位/203
7.2.3 资源目录头IMAGE_RESOURCE_DIRECTORY /204
7.2.4 资源目录项IMAGE_RESOURCE_DIRECTORY_ENTRY /205
3 T8 `6 W7 H+ P" @: ^7.2.5 资源数据项IMAGE_RESOURCE_DATA_ENTRY /206
# t, o! o/ D* S9 N7.2.6 三级结构中目录项的区别/207
; K1 a- I8 @; f$ m+ z. T+ H7.3 资源表遍历/208
7.4 PE资源深度解析/213
7.4.1 资源脚本/213
7.4.2 使用PEInfo分析资源表/214
7.4.3 菜单资源解析/216
7.4.4 图标资源解析/218
* }7 \  @9 ~1 ]2 _6 }7.4.5 图标组资源解析/223
7.4.6 对话框资源解析/224
7.5 资源表编程/228
3 G+ c6 {% T) _7.5.1 更改图标实验/229
$ z+ M$ }1 H! L% V0 S3 F7.5.2 提取程序图标实例/231
3 W# U4 G" y% b6 S5 x$ D7.5.3 更改程序图标实例/241
3 p) y6 T; H# G7 G7 O2 J8 F6 n7.6 小结/244

第8章 延迟加载导入表/245

, r- m5 Y4 Z8 P7 y' p7 L6 \# W8.1 延迟加载导入的概念及其作用/245
8.1.1 提高应用程序加载速度/246
8.1.2 提高应用程序兼容性/246
& S" m* c; V) d3 y. `- e, k8 y8.1.3 提高应用程序可整合性/247
- k4 Y+ N) I9 f$ P' N: R8.2 PE中的延迟加载导入表/247
8.2.1 延迟加载导入表数据定位/247
/ m: d, t0 S- j0 @$ {8.2.2 延迟加载导入描述符IMAGE_DELAY_IMPORT_DESCRIPTOR /248
3 N! T" Q7 A' a, _. z& N- m$ q! H8.2.3 延迟加载导入表实例分析/249
8.3 延迟加载导入机制详解/251
8.4 延迟加载导入编程/253
8.4.1 修改资源文件pe.rc /253
8.4.2 修改源代码pe.asm /253
8.5 关于延迟加载导入的两个问题/255
8.5.1 异常处理/255
8.5.2 DLL的卸载/255
8.6 小结/256
) e7 Q  o7 a; E9 f+ L! h- O" ]
第9章 线程局部存储/257

9.1 Windows进程与线程/257
# g, A+ g+ a1 U. d4 }+ t  F) o/ O9.1.1 Windows体系结构/257
( k: y0 k  L1 o2 c0 D9.1.2 进程与线程创建/258
9.1.3 进程环境块PEB /262
9.1.4 线程环境块TEB /264
9.2 什么是线程局部存储/265
9.3 动态线程局部存储/267
9.3.1 动态TLS实例/267
9.3.2 获取索引TlsAlloc /274
: U: n  F0 D. N- y! r! J1 u9.3.3 按索引取值TlsGetValue /275
4 s  L0 k& R6 Z1 S+ E! m9.3.4 按索引存储TlsSetValue /275
% ^- Y: h  q! y9.3.5 释放索引TlsFree /275
9.4 静态线程局部存储/276
9.4.1 TLS定位/277
9.4.2 TLS目录结构IMAGE_TLS_DIRECTORY32 /278
% y# ?3 m% D7 T( O# `; ^& R, |9.4.3 静态TLS实例分析/278
+ k* K& p$ t  `! Q! t6 D9.4.4 TLS回调函数/279
: d' g4 O' Y  M) g5 S5 M: f9.4.5 测试静态TLS下的线程存储初始化回调函数/280
% `( x& M, M" y7 C7 C2 Q$ ]8 p9.5 小结/281
# N6 c* E" h# m; f4 N
第10章 加载配置信息/282
) _; |. v& i) v0 H
10.1 何谓加载配置信息/282
, U6 x7 x2 B1 a10.2 Windows结构化异常处理/282
4 R) Q% @7 p) {) p# D& ~0 a& r10.2.1 什么是SEH /283
10.2.2 Windows异常分类/285
. u( t1 S- R) l, e) g& |+ N10.2.3 内核模式下的异常处理/286
) C) p) u; X3 J10.2.4 用户模式下的异常处理/289
10.2.5 Windows SEH机制解析/294
# I  j- L7 }7 p- o10.2.6 SEH编程实例/295
10.3 PE中的加载配置信息/299
; q9 K, M" M$ U* ?4 s10.3.1 加载配置信息定位/300
  ^1 c! u4 T2 M: i# o9 b6 e" |10.3.2 加载配置目录IMAGE_LOAD_CONFIG_DIRECTORY /300
10.3.3 加载配置信息实例分析/302
; g' L: u. b  N4 |; z3 q, Q# \10.4 加载配置编程/303
5 W' ]/ B7 _$ w8 ?: \10.4.1 程序源代码分析/304
- X8 d5 O8 b( }  h: E10.4.2 为PE添加加载配置信息/306
10.4.3 运行测试/306
10.4.4 注册多个异常处理函数示例/307
10.5 小结/309
) u2 ]2 n, V3 @* `) F/ I' W
8 B4 v5 J3 z& s% b第11章 动态加载技术/310
! p# {6 |2 R7 D% n
11.1 Windows虚拟地址空间分配/310
11.1.1 用户态低2GB空间分配/310
* s$ t0 `- F8 M& J% y# O, h11.1.2 核心态高2GB空间分配/311
11.1.3 HelloWorld进程空间分析/312
11.2 Windows动态库技术/313
, z, e( S1 g; q7 @. ^4 S8 |2 T11.2.1 DLL静态调用/313
11.2.2 DLL动态调用/314
11.2.3 导出函数起始地址实例/314
11.3 在编程中使用动态加载技术/315
2 c6 ~: N3 S6 w4 j# Z+ d- O6 o11.3.1 获取kernel32.dll基地址/316
11.3.2 获取GetProcAddress地址/322
. d8 o& o. {3 f. J11.3.3 在代码中使用获取的函数地址编程/325
11.3.4 动态API技术编程实例/327
11.4 小结/330
3 D  k: }% {8 u6 A
第二部分 PE进阶
, w1 E0 @2 W6 {) L& T
2 k, {8 ]  c# Y$ k7 f第12章 PE变形技术/332
& J+ J* O; j+ R8 }9 }+ v6 e
9 j' I" T$ G" s8 E6 E- P12.1 变形技术的分类/332
/ w) X( `# e( J6 ~* y12.1.1 结构重叠技术/332
12.1.2 空间调整技术/333
12.1.3 数据转移技术/334
5 m; O  y3 C) l+ \6 C12.1.4 数据压缩技术/338
" v. ~7 m) ?( w3 ^12.2 变形技术可用的空间/341
3 ~$ a( H$ U2 U/ [12.2.1 文件头部未用的字段/341
12.2.2 大小不固定的数据块/343
12.2.3 因对齐产生的补足空间/344
12.3 PE文件变形原则/344
12.3.1 关于数据目录表/344
* [7 g/ r( D+ A% [" \8 G12.3.2 关于节表/344
12.3.3 关于导入表/344
12.3.4 关于程序数据/345
6 S2 Q5 ^- o) F. b' J12.3.5 关于对齐/345
12.3.6 几个关注的字段/345
, n2 i( N0 v0 N% D8 t( K. z8 p12.4 将PE变小的实例HelloWorldPE /346
& ~" p+ {' P+ W8 K9 j: u2 |. K" n12.4.1 源程序HelloWorld的字节码（2560字节） /346
, m0 C& p! @! V  T12.4.2 目标PE文件的字节码（432字节）/348
12.5 打造目标PE的步骤/349
8 [7 z9 p0 T) H3 |; X5 u12.5.1 对文件头的处理/349
12.5.2 对代码段的处理/350
1 D) \$ w% w, _* X+ a% G2 S12.5.3 对导入表的处理/351
, ]2 Y: f1 G+ z- j% b12.5.4 对部分字段值的修正/351
12.5.5 修改后的文件结构/352
12.5.6 修改后的文件分析/353
12.5.7 目标文件更小的实例分析/354
5 X6 \1 A4 |9 P12.6 小结/359

第13章 PE补丁技术/360
% {; k- q1 m( ^4 Z4 b
13.1 动态补丁/360
13.1.1 进程间的通信机制/360
13.1.2 读写进程内存/363
13.1.3 目标进程枚举/368
4 A, a6 Q" Q$ z  ^$ }$ c+ z5 ]13.1.4 执行远程线程/373
13.2 静态补丁/379
13.2.1 整体替换PE文件/379
: b1 k6 a% y$ K7 N; F13.2.2 整体替换DLL文件/385
2 q2 `7 U4 r, ~& a0 `. h( g13.2.3 部分修改PE文件/387
13.3 嵌入补丁程序/388
13.3.1 嵌入补丁程序框架/388
13.3.2 嵌入补丁程序编写规则/394
13.3.3 嵌入补丁字节码实例分析/395
13.4 万能补丁码/396
13.4.1 原理/396
13.4.2 源代码/397
13.4.3 字节码/399
$ O6 p' \% S* B0 S$ C13.4.4 运行测试/399
13.5 小结/399
+ w+ W: f( Y. a0 }  ^
第14章 在PE空闲空间中插入程序/400
# P' v6 `5 x: j8 b8 m( w% A- r
14.1 什么是 PE空闲空间/400
6 k( [  k9 J7 X$ t* i14.1.1 PE文件中的可用空间/400
' ?4 K; }0 Q, q0 ~; z14.1.2 获取PE文件可用空间的代码/400
14.1.3 获取PE文件可用空间的测试/403
6 `% v0 X# w& d' Y+ V/ [14.2 添加注册表启动项的补丁程序实例 /403
14.2.1 补丁程序的源代码/403
14.2.2 补丁程序的字节码/404
' j' U$ ]; w* `# O: ]/ U4 i* W2 X14.2.3 目标PE的字节码/405
6 D6 W$ d+ ~$ C$ w14.3 手工打造目标PE的步骤/408
  g; B1 t/ V; h7 ^' @/ N5 v14.3.1 基本思路/408
3 {) j& Z" p) O/ `14.3.2 对代码段的处理/408
7 k3 t* X* m0 R; k. U1 p14.3.3 对导入表的处理/413
0 {: S) I+ n' A14.3.4 对数据段的处理/418
14.3.5 修改前后PE文件对比/421
2 o" C8 b, Q* v2 {- w1 a14.4 开发补丁工具/422
14.4.1 编程思路/422
0 b# ^& e8 |% H8 B4 u3 Q14.4.2 数据结构分析/423
14.4.3 运行测试/427
7 [5 J' `. |$ I/ m  \14.4.4 适应性测试实例分析/430
14.5 小结/434
5 D; W+ \& ~# ~: }! s$ x
9 I: R( z. C1 T! r' \, K第15章 在PE间隙中插入程序/435
3 o9 l* ~0 G& B# I
5 x. x* ?1 c* c4 H& \15.1 什么是PE间隙/435
15.1.1 构造间隙一/436
15.1.2 间隙一与参数/436
15.2 插入HelloWorld的补丁程序实例/437
15.2.1 补丁程序字节码/437
15.2.2 目标PE结构/439
7 O! I+ e6 y2 k7 ~: {2 b15.3 开发补丁工具/439
15.3.1 编程思路/439
3 x% j& i+ M2 C15.3.2 数据结构分析/440
15.3.3 主要代码/442
15.3.4 运行测试/447
15.4 存在绑定导入数据的PE补丁程序实例 /448
; ~/ Q' m7 x# k! U% ?! G15.4.1 改进补丁程序/448
$ |/ r  r' `6 Z' h! t& ~15.4.2 修正补丁工具/450
15.4.3 为记事本程序打补丁/456
( ], ]- e4 y! G( y: H( N0 l, G15.5 小结/457
: T4 X7 A5 K' v0 i  M+ n
第16章 在PE新增节中插入程序/458

9 c- k) C( Z0 b0 U16.1 新增PE节的方法/458
16.2 在本地建立子目录的补丁程序实例 /458
16.2.1 补丁程序源代码/459
& x7 P- c3 i: _+ U/ [. Z16.2.2 目标PE结构 /464
2 S  P3 n! j% e8 q4 k) ]( }. [16.3 开发补丁工具 /465
16.3.1 编程思路/465
# J  v5 ]5 S: W. c16.3.2 为变量赋值/466
1 U8 k' P, [: j% o  l16.3.3 构造新文件数据/466
' t. u+ O2 D) c7 t16.3.4 修正字段参数/466
6 U( J4 C& m! }16.3.5 主要代码/467
16.3.6 运行测试/475
16.4 小结/475

6 B+ y. Y2 [2 _/ U& [" P第17章 在PE最后一节中插入程序/476

17.1 网络文件下载器补丁程序实例/476
7 R% b2 e. ^$ J5 j17.1.1 用到的API函数/476
17.1.2 补丁功能的预演代码/482
17.1.3 补丁程序的源代码/484
17.1.4 目标PE结构/485
# e, m1 h) u, ^! P17.2 开发补丁工具/486
8 z- [3 h5 y# A- H: D; o17.2.1 编程思路/486
  I3 O2 Z1 v8 `. }7 {" t17.2.2 主要代码/487
3 @8 m4 P9 D' ]; O/ [17.2.3 运行测试/490
9 N* V& e6 |& R" h+ }8 d17.3 小结/491

5 z9 ^8 s5 \* A! C, ^) }1 M第三部分 PE的应用案例

第18章 EXE捆绑器/494
, X8 T1 o: O5 B5 @% l% w/ G3 G6 w
$ E+ l7 S( k8 R) E: w18.1 基本思路 /494
, Z  W1 f# G& V5 }# h18.2 EXE执行调度机制 /495
5 s% ?7 |. k; m' Y& Y! d/ @$ }18.2.1 相关API函数/495
- b" S: n$ E7 V* E1 ?8 B18.2.2 控制进程同步运行实例分析/499
18.3 字节码转换工具hex2db /500
18.3.1 hex2db源代码/500
, \( x; @3 [- V' Q/ X1 g+ y" O18.3.2 运行测试/507
9 m! |- f- ]3 m( v/ f* |18.4 执行调度程序_host.exe /508
( ?1 _; x8 [+ }0 j/ _18.4.1 主要代码/508
- F- @8 |6 F8 Y- k4 a# q18.4.2 数据结构分析/510
18.5 宿主程序host.exe /511
18.5.1 宿主程序的功能/511
5 g/ f+ }/ I6 h9 G18.5.2 宿主程序的状态/511
+ @' ~7 Z* i% H8 Y( u+ E, ~8 |18.5.3 遍历文件/512
0 |% x, o( y( z: w/ G18.5.4 释放文件/514
: X8 @' T7 l9 `5 ^18.5.5 宿主程序主函数/517
18.6 EXE捆绑器bind.exe /517
18.6.1 绑定列表定位/517
18.6.2 捆绑步骤及主要代码/518
& L# L/ |# r: i5 @9 u: d5 {18.6.3 测试运行/523
18.7 小结/524

第19章 软件安装自动化/525

7 B5 [$ z5 D- t! W19.1 基本思路/525
) W: Q, b2 f. G1 g19.2 补丁程序patch.exe /525
19.2.1 相关API函数/526
6 [2 [) Z5 [/ O8 s( c: _19.2.2 执行线程函数/526
19.2.3 简单测试/528
1 y/ b. W3 K7 B, H* ]19.3 消息发送器_Message.exe /529
19.3.1 窗口枚举回调函数/529
* H; M' `% J2 }' B19.3.2 调用窗口枚举函数/530
19.3.3 向指定窗口发送消息/531
  {& W' k, S' b" j/ k19.3.4 消息发送器源代码/532
19.3.5 测试运行/535
19.4 消息发送器生成工厂MessageFactory.exe /535
19.4.1 消息发送函数/535
1 l8 e  E. g" l4 V- z19.4.2 键盘虚拟码/537
19.4.3 改进的消息发送器实例分析/540
19.4.4 消息发送器生成工厂代码结构/542
19.4.5 代码与数据的定位/544
19.4.6 提取代码字节码/545
) w& X% G/ W& t, y; |/ r19.5 软件安装自动化主程序AutoSetup.exe /548
% T9 R7 ]' j+ k4 a' G# O" J, R19.5.1 主要代码/548
19.5.2 测试运行/552
8 V9 f, ~5 k  c8 ~2 w2 ?1 B19.6 小结/554
( x) z! O* p/ K" R9 u
第20章 EXE加锁器/555

20.1 基本思路/555
" @& \0 a' A& ~9 n: Y' u8 ?! E: u20.2 免资源文件的窗口程序nores.asm /556
20.2.1 窗口创建函数CreateWindowEx /556
20.2.2 创建用户登录窗口的控件/558
. j& z- a7 L# c& G- ?* l7 s20.2.3 窗口程序源代码 /558
20.3 免重定位的窗口程序login.asm /562
: B! w$ S" o$ d& Z; H20.4 补丁程序patch.asm /570
4 ~0 Z9 b& D$ d+ f: ]1 v20.4.1 获取导入库及函数/570
  ?+ ]& J) C0 g4 ?) J0 P9 X" V20.4.2 按照补丁框架修改login.asm /571
5 H4 d* S# |* B8 W20.4.3 补丁程序主要代码/572
20.5 附加补丁运行/573
  V# K# }) }6 `% s- \- _. e20.6 小结/575

第21章 EXE加密/576

$ I/ {  H; J6 B  ]; `; w6 G; Z21.1 基本思路/576
21.2 加密算法/577
" {& X4 I$ I7 _% }6 t* b- N21.2.1 加密算法的分类/577
21.2.2 自定义可逆加密算法实例/578
21.2.3 构造加密基表/579
21.2.4 利用基表测试加密数据/581
21.3 开发补丁工具/582
+ Q3 L! V: }  Q( d) J% i21.3.1 转移数据目录/582
21.3.2 传递程序参数/585
  a+ u$ ~8 @+ M7 E% v0 o21.3.3 加密节区内容/587
21.4 处理补丁程序/588
. d* m  @8 w% @21.4.1 还原数据目录表/588
: ]1 {( p2 D1 h* q$ Y/ n21.4.2 解密节区内容/590
21.4.3 加载目标DLL /592
' a7 u7 a' z  M7 B, V8 l) K4 K7 Q7 @21.4.4 修正目标IAT /594
1 y& B9 D' t+ F: ^21.5 小结/595

* C0 l6 H/ |+ Z! a. p3 O第22章 PE病毒提示器/596

) }2 Z! ]2 C- h22.1 基本思路 /596
22.1.1 志愿者的选择条件/596
* X* Z7 U; m8 l& B: W% K8 j22.1.2 判断病毒感染的原理/597
( L7 |4 n' }1 u* s- W  \22.2 手工打造PE病毒提示器 /597
22.2.1 编程思路 /597
22.2.2 分析目标文件的导入表 /598
22.2.3 补丁程序的源代码/601
22.2.4 补丁程序的字节码/608
22.2.5 修正函数地址/609
2 _7 k7 P. A  l+ C$ Z22.2.6 测试运行/610
22.3 补丁版的PE病毒提示器/611
  s. {# X( m( R# }. i6 j22.3.1 将提示器写入启动项/611
, [5 P+ L! D5 [2 k8 c9 j22.3.2 检测特定位置校验和/612
22.3.3 测试运行/615
" S! H3 Y9 r+ k$ q, `22.4 小结/617
$ ^2 m, _' G) l+ I6 e
- r# ?$ v& }, k第23章 破解PE病毒/618

23.1 病毒保护技术/618
6 j7 e2 Z8 i- O( B4 _1 |( ?23.1.1 花指令/619
6 N  y- C/ y; j: r23.1.2 反跟踪技术/620
23.1.3 反调试技术/621
' `5 v3 J" z$ ~% Z% |23.1.4 自修改技术/624
23.1.5 注册表项保护技术/625
& a! E( F; t0 N9 J" Z23.1.6 进程保护技术/627
* s& ?: N# h( \2 y23.2 PE病毒补丁程序解析/632
23.2.1 病毒特征/633
23.2.2 补丁程序的源代码分析/633
, Q0 v5 R& a# U$ \* `23.2.3 病毒传播测试/648
23.2.4 感染前后PE结构对比/650
+ X) J3 q7 |- J$ i; l- r8 G23.3 解毒代码的编写/650
; ^/ s2 _  O" Q9 D) N9 B, N23.3.1 基本思路/651
$ F/ r- o$ |5 m3 n: O' ~23.3.2 计算病毒代码大小/651
! K' A0 ^5 j: V+ s23.3.3 获取原始入口地址/652
7 @9 U* Q$ r& @( M  o+ o+ ?; W23.3.4 修正PE头部的其他参数/652
3 s: c. h/ I/ C23.3.5 主要代码/653
3 F: ?, w: V+ m23.3.6 运行测试 /656
9 e- K, ^) F( q( [9 r7 Y# w23.4 小结/657

后记/658
% Q% M$ w, Z. s/ V
2 n3 H. Z% l1 l# h
2 ]+ G0 k, s- t5 H+ x

木志本柯

结合《逆向工程核心原理》看完这两本书可以称得上是逆向高手了

fishq

了