星绽紫辉(rawdata)的Blog

摘要: 权作笔记。

如果要将某个dll注入PE文件（不需要装载dll和运行PE）,只需要拷贝原来的Import表，然后复制该表到文件对齐间隙区，然后在后面写入自定义的dll结构。一般新加的结构为0x14长，这个结构对应的值都是RVA,通过RVA计算出RAW,该RAW对应的便是dll名字，序数，偏移地址等信息（可以先从dll的export表中读取所以导出函数信息再写入PE文件，export表的结构比Import表更简单）。
阅读全文

posted @ 2009-03-06 10:29 星绽紫辉阅读(1977) | 评论 (2) | 编辑收藏

2009年2月23日 #

如何将.spl剥离成.emf文件格式

摘要: 关键字: 打印 SPL EMF 文件格式

问题：
Windows的假脱机打印会在Windows\System32\spool\PRINERS目录下生成.spl和.shd文件，其中的打印内

容存贮在.spl文件中，但是.spl文件格式似乎未公开，那么如何才能将未知的.spl文件剥离成.emf文件呢？
阅读全文

posted @ 2009-02-23 10:08 星绽紫辉阅读(8082) | 评论 (10) | 编辑收藏

2009年2月5日 #

如何卸载 IP GUARD 2.82.0824 客户端

摘要: IP Guard客户端在XP下无法直接卸载，而且其监控功能非常强大和全面，但是特别令人不舒服：所有的操作都被服务器端一览无遗，而且只有第一个服务器才能卸载对应的客户机。

分析IP Guard 的安装程序包，发现类似于inno的打包方式，用PEID侦测，果然是用inno打的包，而且没有任何的加密措施。

阅读全文

posted @ 2009-02-05 10:32 星绽紫辉阅读(7246) | 评论 (5) | 编辑收藏

2009年1月20日 #

给PE文件增加多个区段(sections)

摘要: 关键字: PE 增加区段 section 文件格式

现在我要给一PE文件增加区段(section),但是增加区段后我不希望影响PE文件的正常使用，那么应该怎么

做呢？我写这个教程的目的，希望能帮学习PE格式，当然也作为我以后参考的笔记。

简单地说：PE文件和普通文件没有什么区别，只是存在格式上的差异。另外，当你双击某个.exe文件

时，Windows Shell 程序将会尝试解析文件并运行它的PE代码。所以第一步，你必须对PE格式比较熟悉。现在

网上的PE教程我认为最好的就是罗云斌主页上的汇编教程了，我在这里长话短说，只是讨论和我们要解决的

问题相关的方面。
阅读全文

posted @ 2009-01-20 10:54 星绽紫辉阅读(3299) | 评论 (13) | 编辑收藏

仅列出标题下一页

星绽紫辉(rawdata)的Blog

常用链接

留言簿(5)

我参与的团队

随笔档案(16)

精品文章

喜好链接

搜索

最新评论

阅读排行榜

评论排行榜