实例一：一个简单的入口跳转

使用一个简单的exe文件作为示例，使用010Editer打开

Step1：修改NT头中的NumberOfSections字段加一

重新加载文件就能看到新增的section

Step2：SectionHeader的设置：

Name：字段名

PhysicalAddress

VirtualSize：与PA一致，为区段字节数（此处200h）

VirtualAddress：上一seciton的VirtualAddress加上内存对齐的大小（此处1000h）

SizeOfRawData：文件对其后的大小（此处200h）

PointerToRawData：上一个区段PointerToRawData + SizeOfRawData

设置完成如下：

Step3：设置section属性

这里设置为了可执行可读可写

Step4：添加数据

Step5：修改SizeofImage

SizeofImage =（最后一个section）VirtualAddress + SizeOfRawData

Step6：去除随机基址参数，避免入口点变化

40 80 -> 00 80

现在字段的修改就告一段落了

Step7：LordPE，修改程序入口点为新区段

原本的EntryPoint是0x00001005，记下

EntryPoint改为新区段的Voffset：0x00008000

Step8：

X64dbg打开修改后的PE文件调试：

可以看到EntryPoint已经在新section了，全是00

现在的目标是要让程序跳转回正确入口点，那么直接修改

OK，打上补丁，重新载入

跳转正确入口点

运行成功

总结以下，实现程序入口点跳转如下步骤：

构建/寻找一个位置存放入口跳转代码，这里采用的是新建一个自定义区段

重新设置程序入口点为添加代码处（这个地方理论可以插入任意多的代码，我们可以在原程序执行前做相当多的工作）

保证壳代码执行完后顺利跳转到原OEP处，为了保证寄存器值常常使用pushad和popad指令

实例二：简单加密壳

对代码节进行加密处理，添加壳代码使程序完成自解密->正常运行的流程

使用C++编写了一个简单的加密脚本，对代码节异或加密

注意：这里是根据OEP定位的代码节，若需要加密其他区段，应该采用的方法是

1
2
3

if (!strcmp((char*)pSection->Name,".text")){
	// code
}

#include <Windows.h>
#include <iostream>
using namespace std;
char *pFileSrc = NULL;
int iTextVirtualAddr = 0;
int iTextVirtualLen = 0;


int main(){
    char szFileName[] = { "G:\\ReverseTest\\section.exe" };
    HANDLE hFile = CreateFileA(szFileName,
        GENERIC_READ | GENERIC_WRITE,
        FILE_SHARE_READ | FILE_SHARE_WRITE,
        NULL,
        OPEN_EXISTING,
        FILE_ATTRIBUTE_ARCHIVE,
        NULL);
	// 文件大小
    DWORD dwFileSize = GetFileSize(hFile, NULL);
	// 读入内存
    pFileSrc = new char[dwFileSize];
    ReadFile(hFile, pFileSrc, dwFileSize, NULL, NULL);
    CloseHandle(hFile);

    PIMAGE_DOS_HEADER pDosHead = (PIMAGE_DOS_HEADER)pFileSrc;
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHead + pDosHead->e_lfanew);
    DWORD dwSectionCount = pNtHeader->FileHeader.NumberOfSections;
    PIMAGE_SECTION_HEADER pSection = (PIMAGE_SECTION_HEADER)((DWORD)(&pNtHeader->OptionalHeader) + pNtHeader->FileHeader.SizeOfOptionalHeader);
	// 搜索代码节
    for (int i = 0; i < dwSectionCount; i++){
        // OEP地址确定代码位置
        if (pNtHeader->OptionalHeader.AddressOfEntryPoint 
		>= pSection->VirtualAddress
            && pNtHeader->OptionalHeader.AddressOfEntryPoint 
		< (pSection->VirtualAddress + pSection->Misc.VirtualSize)){
            cout << (int)(pFileSrc + pSection->PointerToRawData) << endl;
            for (int iCount = 0; iCount < pSection->Misc.VirtualSize; iCount++){
				// 异或加密操作
                *(char*)(pFileSrc + pSection->PointerToRawData + iCount) ^= 0xF2;
            }
			// 设置section可写
            pSection->Characteristics |= 0x80000000;

            cout << (int)(pFileSrc + pSection->PointerToRawData + pSection->Misc.VirtualSize-1) << endl;
            break;
        }
        pSection++;
    }

	// 创建新文件并写入
	HANDLE hNewFile = CreateFileA("G:\\ReverseTest\\section-Encrypt.exe",
		GENERIC_READ | GENERIC_WRITE,
		FILE_SHARE_READ | FILE_SHARE_WRITE,
		NULL,
		CREATE_ALWAYS,
		FILE_ATTRIBUTE_ARCHIVE,
		NULL);
	LPDWORD iNum = NULL;
	WriteFile(hNewFile, pFileSrc, dwFileSize, iNum, NULL);
	CloseHandle(hNewFile);
 
	system("pause");
	return 0;
}