Foro de elhacker.net

Se puede configurar Masm32 para que queden mas pequeñas las secciones del PE? Tengo mas db 0 que instrucciones..  :¬¬

En C++ podríamos hacer algo asi:

#pragma comment(linker,"/merge:.rdata=.text")

Ademas de configurar el IDE para reducir el PE

En masm32 hay alguna opcion de eso? O alguna herramienta para modificar las secciones de un programa?

Gracias! Saludos!

Y si le pasas UPX despues de compilar?

Saludos!

No me reconoce el formato dice..  :huh: Creo que se podria editar a mano... pero existiendo herramientas no me quiero complicar con cada programa..

¿Ya probaste a pasarle ese parametro al linker? En principio es el mismo ...

ml /c /Cp /coff archivo.asm
link /merge:.rdata=.text archivo.obj

Casi.. el comando lo entiende, pero rompe el archivo.. quedaría así:

ml /c /Cp /coff archivo.asm
link /subsystem:windows /merge:.rdata=.text archivo.obj

No reduce mucho igual.. alguna herramienta que modifique los campos del PEB y redimensione no hay? Esta bien lo que digo, no? Si cambiamos el tamaño de las secciones hay que modificar el PEB, verdad?

Saludos! Gracias!

El mio funciona bien, es muy elemental, apenas emula RtlGetCurrentPeb y llama a MessageBox con la linea de comandos: 1024 bytes. ¿Que tamaño tiene tu ejecutable y como se rompe exactamente?

link /merge:.data=.text /merge:.rdata=.text

PD. El PEB es una estructura en memoria, el PE es el formato del binario.

Imposible, no es posible eliminar ningun campo del PE. talvez ajustar el DOS stub pero apuesto que te ahorras solamente unos bytes, juntar
todas las secciónes a formar una sola, Filealignment, etc habria que ver el ejecutable. En fin, lejos de recudir por medio de las caberas
al contrario se puede incrementar.

Por cierto ¿Cuanto es el tamaño del ejecutable 40kb? ¿Adonde se piensa ejecutar? en un S.O de disquette?

Ayer @Lord Pei me sugirió que trate de quitar la sección .data, con eso se redujo 50Kb,, el único problema es que tengo la cadena "cmd.exe" que estoy tratando de colocarla dentro del código..

Ahora con unas modificaciones me dejo juntar la sección data (no rdata) y se redujo 1024 bytes. Un lujo!


Jeje,, no.. pero va a ir metido dentro de un .mp3 el código.. igual lo estoy achicando para ver hasta donde se puede dejar.. Ahora pesa 1,50 KB y lo puedo dejar en 1 si logro sacar ese "cmd.exe" y juntar el .rdata, igual creo que ahora se ajusta mas a lo que tiene de codigo real y el tamaño..

Si, verdad.. pifie yo.

El Filealignament me puede servir.. hay una forma de hacerlo que no recuerdo.. igual como decis, quizas no se gane mucho..

Saludos!! Gracias!

Si, ahi te deje la linea para juntar los 3 en 1.


Eso si me jodio el ejecutable, al menos en Windows 7 x64 no funciona (es /align:16 por ejemplo).

El código dentro de un .mp3 seria entonces la imagen PE o sólo el código? Sino pues apostaria a generar una shellcode.
Además es la cadena "cmd.exe" constante? de ser así puede ir en rdata definiendola como constante así el compilador no la agregaria en .data.

¿Cómo Filealignament pudo joder el ejecutable? No me referia a dejarlo a cero... se puede modificar si es mayor de 0x200.

Vos decís de meter los opcodes dentro del mp3? Se podria, no? Igual quiero tener un ejecutable "a mano" por las dudas,, para poder hacer otras cosas con el.. y siempre lo podría pasar a opcode..
Mal yo: (ando distraído hoy) la sección que me deja juntar es la .rdata y no .data como dije hoy.. la cadena es constante si.. pensé en hacer algo así:

.cadena:
       db "cmd.exe", 0

Por ahi lei a otros que tenian el mismo problema,, a mi con align:16 me lo redujo 10 bytes, no es mucho pero suma.. y con align:4 lo redujo 12 bytes.. me gustaria mantener la portabilidad.. asi que si no funciona en win7 x64, no lo uso...

Saludos!

Con /align:512:

eax=77452070 ebx=7745206c ecx=00000001 edx=7745206c esi=7efde000 edi=7efdd000
eip=77395321 esp=0018fcb8 ebp=0018fd00 iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
ntdll!_LdrpInitialize+0x73:
77395321 e8ab1c0000      call    ntdll!LdrpInitializeProcess (77396fd1)

0:000> p
eax=c0000018 ebx=7745206c ecx=761b4fc4 edx=00000000 esi=7efde000 edi=7efdd000
eip=77395326 esp=0018fcc0 ebp=0018fd00 iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246

0:000> !error c0000018
Error code: (NTSTATUS) 0xc0000018 (3221225496) - {Conflicting Address Range}  The specified address range conflicts with the address space.

Viene de ntdll!LdrpWx86FormatVirtualImage, a su vez de ntdll!Wow64LdrpWx86FormatVirtualImage y por ntdll!LdrpWx86DetectSectionOverlap. Es un programa de 32 bits en un Windows 7 de x64 ...

Pero debería funcionar.., igual no entiendo.. con align 512 no queda mas grande??


Me cite a mi mismo para preguntar.. igual tendria que tener la cabecera MZ y todo lo correspondiente a un ejecutable en opcodes,, seria como la imagen al final...  :¬¬

Salute!

Pues habria que ver cual es tu idea si esperas que los opcodes sean ejecutados como instrucciones habria que pensarlo :)


Pero /align establece SectionAlignment no FileAlignment.

-

El SectionAlignment no altera absolutamente en nada la imagen PE respecto al tamaño este tiene otra relación sobre la carga de la imagen.
Me refiero a FileAlignment ya que algunos compiladores agregan un valor mayor a 0x200 de ser así es posible modificarlo sino problemas de alineamiento
de datos como suele pasar en x64.

Ah, me confundi con el otro alignment entonces (en realidad nunca use el que mencionas vos), pero si afecta al tamaño, con /align:4 mi misero ejecutable tiene 592 bytes.

Pero lo estropea, no?

Yo ahora lo deje en 1.34Kb, y creo que no le puedo ganar mucho mas.. aun hay mucho db 00 .. pero tengo declaradas 4 estructuras.. calculo que es ese el espacio.. o es un bolazo eso?

Puedes colocar la cadena "cmd.exe" incluso en .text, siempre y cuando no escribas en ella, y se ejecute, por que genera un bad opcode.

.section .text
.globl _start
 
.cadena: db "cmd.exe", 0
 
_start:
 
// code

Asi te puedes ahorrar alguna section, eso se usa para las shellcodes.

Un saludo.

En el entorno que mencione si, no me funciona.


Depende, investiga con dumpbins (/headers, /all, /disasm, etc.) como va quedando tu ejecutable.

Esta bien, estaba viendo eso de SectionAlignment ya que teoricamente y logicamente no deberia afectar el tamaño de la imagen y
noté que es afectada ya que FileAlignment no puede ser mayor a SectionAlignment por obvias razones y por eso FileAlignment es
alterado también. Además estaba en VC++ y nisiquiera me deja compilar con Align:4 lo min es Align:16... link.exe... :)

Por cierto, lo min valido en Winx64 fue de 1024 bytes alguien da menos ^^
Estoy viendo si lo hago manualmente puede que talvez reduzca algunos bytes...

Claro, aunque en realidad todos estos son parametros para el enlazador - el/los obj tienen todas las secciones y el enlazador puede mezclarlas por ej. - y en principio se usa el mismo (linker.exe).

Pues eso mismo pensaba ya que alveces suelo usar el linker que viene con el WDK pero en VS 2012 no me permite compilar con /align:4...

PD. Desde el IDE no he probado desde linea de comandos ^^

En masm no hay sección ".text", creo que el equivalente seria le sección ".code",, igual lo que decis es correcto, aunque no te lo permite en una sola linea, quedaría la etiqueta primero y abajo el db "valor", 0. Lo probé, pero al final, usando merge y uniendo todas las partes en una sola, el tamaño no cambia.. por eso creo que no lo puedo reducir mas.. son 1.376 bytes, y tengo 4 estructuras, 5 funciones y algunas instrucciones.. no esta tan mal..

En conclusión para que sea compatible con x64, no usar Align?  :rolleyes:

Temas resuelto!

Gracias Genios! Saludos!

Si, o siempre usar un ejecutable nativo  ::)

Ya veo que das el tema por resuleto, asi que no le dare mucha mas cuerda.

No entiendo eso de "no te lo permite en una sola linea", yo puedo añadir los bytes que quiera en cualquier parte de .text ".code".

Al no utilizar .data ami me bajo algo de peso, pero no mucho, igual que las estructuras tambien puedes ponerlas en ".code", normalmente todos esos datos se ponen al final del code para que estos no se ejecuten.

Tambien te recuerdo de que yo creo el binario con el formato ELF, cosa que a este le puedes modificar todo, hasta reducir el tamaño de las secciones. Pero como trata de Windows esto no viene al caso.

Un saludo.

En realidad es un tema de sintaxis.. ej:

cadena: db "cmd.exe", 0 -> db syntax error

Pero si lo hago asi:

cadena: 
     db "cmd.exe", 0

No es porque no se pueda.. es un tema de sintaxis nomas..
Ya corrobore que los db que quedan en el código son las estructuras,, así que no se puede reducir mas, y si se puede serán unos bytes.. no me caliento mas jaja

Me parece que el formato ELF es menos exigente con el formato.. en win, un cambio inesperado y se pudre el PE..  :rolleyes: