.net - できればデバッグ API を使用してメモリ上の Win32 エントリ ポイントとコード インジェクションを見つける方法は?

Question

私はスニファーについて知っており、win32 デバッグ API を使用してスニファーを作成できます。しかし、ここでは、実行可能ファイルのエンティポイントを見つけて、そこにコードを挿入したいと考えています。これはデバッグ API で可能ですか? または、olly のようなツールではなく、コードを使用するその他の方法。

Answer 1

Portable Executable ファイル形式を調べて理解する必要があります。開始に役立つソースを次に示します。

• http://msdn.microsoft.com/en-us/library/ms809762.aspx
• http://msdn.microsoft.com/en-us/magazine/cc301805.aspx
• http://msdn.microsoft.com/en-us/magazine/cc301808.aspx
• http://tuts4you.com/download.php?view.235
• http://net.pku.edu.cn/~course/cs201/2003/mirrorWebster.cs.ucr.edu/Page_TechDocs/pe.txt - これは特に便利です。

使用するために、AddressOfEntryPoint ポインターは、IMAGE_FILE_HEADER 構造体にある IMAGE_OPTIONAL_HEADER 構造体に配置できます。これは、実行する最初の命令への RVA (相対仮想アドレス) です。実行の流れを最初から変更したい場合は、このフィールドの値を新しい RVA に変更する必要があり、新しい RVA の命令が最初に実行されます。