elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: AIO elhacker.NET 2021 Compilación herramientas análisis y desinfección malware


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderador: fary)
| | |-+  [DUDA] Edición de la Estructura PE
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: [DUDA] Edición de la Estructura PE  (Leído 4,204 veces)
s7evin

Desconectado Desconectado

Mensajes: 23


Ver Perfil
[DUDA] Edición de la Estructura PE
« en: 2 Noviembre 2012, 16:42 pm »

Buenos días/tardes a tod@s,

Estoy practicando y aprendiendo (al mismo tiempo) la edición de PortableExecutable (PE) y más o menos voy entendiendo como funciona (lo básico).

La cuestión es que he modificado la última sección de un ejecutable (.reloc) y la he ampliado unos 300KB, depués de eso he modificando su SizeOfRawData. No neceisto que el ejecutable reserve memoria a la hora de ser ejecutado, tan solo quiero meter datos y que no sea "sospechoso".

Es suficiente modificando el SizeOfRawData? o deberia modificar el SizeOfImage y VirtualSize (.reloc)?

Tengo entendido que el VirtualSize y SizeOfImage, es la memoria que utilizara una vez se ejecute.

Aqui dejo un pantalla con el PEeditor:


Podriais aclararme estas dudas?

Gracias por adelantado!

PD: dependiendo del archivo (cuando son muy pesados) que inyecte en el .reloc, me sigue saltando el AV Avira... >_<

PD2: el tamaño original del SizeOfRawData (.reloc) era: 0xC00
« Última modificación: 2 Noviembre 2012, 16:44 pm por s7evin » En línea

fary
Moderador
***
Desconectado Desconectado

Mensajes: 1.075



Ver Perfil WWW
Re: [DUDA] Edición de la Estructura PE
« Respuesta #1 en: 4 Noviembre 2012, 17:18 pm »

Claro, si agrandas la sección tienes que modificar tambien SizeOfImage y VirtualSize, sino  no te carga en memoria los datos nuevos que introduces... Por otra parte modifica mejor la sección de código y no la de la tabla de relocaciones.

un saludo.
En línea

Un byte a la izquierda.
s7evin

Desconectado Desconectado

Mensajes: 23


Ver Perfil
Re: [DUDA] Edición de la Estructura PE
« Respuesta #2 en: 5 Noviembre 2012, 10:26 am »

Thx por responder! :]

En realidad es lo que pretendo, que no se carguen en memoria.
Aún así, también he intentado cargarlos en memoria modificando SizeOfImage & VirtualSize, pero el ejecutable queda inservible...

VirtualSize = Tamaño de los datos de la sección a "pelo"?
SizeOfImage = alineado a SectAlign(VirtualAddress + VirtualSize) de la última sección?

Y en cuanto a lo de modificar la sección .text en vez de la .reloc, sí, quizá debería modificar esa, al menos no sería tan "raro" por el tamaño. Modificaré el código para que lo meta en .data a ver que sucede jeje

Muchas gracias!
En línea

fary
Moderador
***
Desconectado Desconectado

Mensajes: 1.075



Ver Perfil WWW
Re: [DUDA] Edición de la Estructura PE
« Respuesta #3 en: 6 Noviembre 2012, 20:28 pm »

Virtualsize es el tamaño de la sección en memoria  y el sizeofimage es el tamaño del ejecutable entero en memoria (sí mal no recuerdo), de todas formas coge un manual del pe para asegurarte.


Finalmente una pregunta, dichos datos que son?

Un saludo.
En línea

Un byte a la izquierda.
s7evin

Desconectado Desconectado

Mensajes: 23


Ver Perfil
Re: [DUDA] Edición de la Estructura PE
« Respuesta #4 en: 8 Noviembre 2012, 20:36 pm »

Estoy usando 2 ejecutables:

- El primero lanza un MessageBox con un mensajito de "hola mundo" hecho en C (peso: 1Kb).
- El otro es uno que realicé para parsear archivos en Delphi (peso: 356Kb).

Con el primero me funciona perfectamente, es poco peso. Pero sin embargo, con el otro según como, me falla, o no se carga, o lo detecta el Av como Dropper :S

Enfin seguiré en ellos jeje
En línea

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Confusion y duda en edicion de video
Multimedia
NoKi 3 2,058 Último mensaje 25 Agosto 2006, 01:18 am
por Songoku
[Duda] estructura While-Wend, no entiendo
Programación Visual Basic
Dreamaker 6 6,227 Último mensaje 3 Abril 2010, 05:12 am
por Shell Root
[duda simple] Edicion de Texto « 1 2 »
Ingeniería Inversa
GaudyG 10 5,670 Último mensaje 2 Abril 2011, 17:46 pm
por apuromafo CLS
Duda con estructura _LDR_DATA_TABLE_ENTRY
Ingeniería Inversa
.:UND3R:. 6 3,995 Último mensaje 5 Julio 2013, 18:38 pm
por rdzlcs
Duda estructura o seudocodigo
Programación C/C++
nolasco281 2 1,947 Último mensaje 8 Abril 2014, 17:37 pm
por nolasco281
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines