I
import
Unregistered / Unconfirmed
GUEST, unregistred user!
exeLock技术完全分析 真辛苦啊！这是我想说的第一句话。
有时痛苦得都不想做下去了，但我始终相信我可以做出来，就坚持下来了。要命的是，我的键盘和鼠标都不太灵活了，更要命的是，我连买一只新鼠标的钱都拿不出来！
一开始想做这个程序的时候，发现从理论上来讲真的是非常的简单，设有一个程序名叫dosomething，我们的检查密码的程序叫checkpassword，那么，我们把checkpassword加入到dosomething的前面，在某人想运行dosomething的时候，好了，checkpassword跳了出来，某人输入正确的密码，就让他dosomething，反之亦然。
简单吧，但只是看起来是这样！
我们把这个dosomething.exe用记事本什么的打开，看到的只是一堆乱码，完全没有设想中的begin,end之类的东西，呵呵，连程序从那里开始都不知道，更不用说什么加入自己的代码了。
要了解EXE的文件结构，就要知道PE(Portable Executable File Format)是什么东东，下面是相关的几篇文章，推荐先看一下
Matt Pietrek大哥写的Peering Inside the PE: A Tour of the Win32 Portable Executable File Format，他可是我的偶像之一哦。
候捷先生翻译的中文版！嗯，我就知道你要这个。我的另一个偶像
MSDN里的Microsoft Portable Executable and Common Object File Format Specification,官方资料。
如果你E文不好的话，就看候捷先生那篇就可以看通本文了。
如果你看不懂以上文档的话，嗯……我帮不了你了，哈哈，说笑了
想把一个程序嵌到另一个程序运行可以分为三个步骤:
1 修改PE文件头信息
2 增加一个段表信息(Section Table)
3 写入壳文件
下面是我对这三个步骤的详细说明。
1 修改PE文件头信息
.1 段数加一(NumberOfSections)
我们加了一个Section，这个数当然要加一了。
.2 修改程序入口(AddressOfEntryPoint)
这个就有不用说了吧！呵呵，把这个地址指到壳文件的入口就行了，注意的是要加上ImageBase 。
.3 增加代码大小(SizeOfCode)
是原来的大小加上壳文件的大小（壳的头部除外）。
.4 增加内存映像大小(SizeOfImage)
也是原来的大小加上壳文件的大小（壳的头部除外）。
.5 修改引入表(Import Table)入口(DataDirectory[1].VirtualAddress)
这个比较重要，请仔细看了。
我们知道，一般的windows的程序都有API的调用，这个Import Table里放的就是程序要调用的DLL的名称和各个函数的名称或序号。由于我们的外壳程序也要用到API的调用，所以我们必须把入口修改为外壳程序的Import Table的入口。一开始的时候，我本来想不修改这个入口的，但为了清除外壳程序时的方便，所以只有修改原Import Table的入口了，但这又引起了另一个麻烦，就是我们必需人工装入原程序的输入部分。也就是说，原来的程序要引用的DLL现在要外壳程序加载上去了，嗯……真是有得必有失啊。因为Import Table是装入器，也就是运行程序时把程序装入系统并运行的那个家伙，自动加载上去的，修改了原程序的入口之后，装入器就加载了壳程序的Import Table，而原程序的Import Table它就不管了（它不知道啊，怎么管？）。所以只有壳程序把这个粗活接下来了。
.6 修改引入表(Import Table)大小(DataDirectory[1].Size)
这个改为壳程序的引入表大小就可以了。
2 增加一个段表信息(Section Table)
.1 在最后一个段表信息之后增加一个段表信息".BOYU"
没有这个段表信息的话，系统才不管你加了什么东西进去呢。
3 写入壳文件
.1 把壳程序的exe文件中的涉及到地址部分相应地加上原程序的基址(ImageBase)，
一般来说是调用DLL，还有全局变量的时候要用到。
.2 保存原程序的ImageBase,AddressOfEntryPoint,Import Table入口(DataDirectory[1].VirtualAddress)在壳程序的.data 里的相应的变量偏移地址，以供壳程序使用。
.3 把壳程序的exe文件的三个段.code、 .rdata 、.data写入原exe文件的尾部，要注意段对齐(Section Align)
这三个段合并为一个，写到段表信息量".BOYU"的PointerToRawData所指的地方，因为要注意Section Align 所以前面可能要加上补足的部分。
有时痛苦得都不想做下去了，但我始终相信我可以做出来，就坚持下来了。要命的是，我的键盘和鼠标都不太灵活了，更要命的是，我连买一只新鼠标的钱都拿不出来！
一开始想做这个程序的时候，发现从理论上来讲真的是非常的简单，设有一个程序名叫dosomething，我们的检查密码的程序叫checkpassword，那么，我们把checkpassword加入到dosomething的前面，在某人想运行dosomething的时候，好了，checkpassword跳了出来，某人输入正确的密码，就让他dosomething，反之亦然。
简单吧，但只是看起来是这样！
我们把这个dosomething.exe用记事本什么的打开，看到的只是一堆乱码，完全没有设想中的begin,end之类的东西，呵呵，连程序从那里开始都不知道，更不用说什么加入自己的代码了。
要了解EXE的文件结构，就要知道PE(Portable Executable File Format)是什么东东，下面是相关的几篇文章，推荐先看一下
Matt Pietrek大哥写的Peering Inside the PE: A Tour of the Win32 Portable Executable File Format，他可是我的偶像之一哦。
候捷先生翻译的中文版！嗯，我就知道你要这个。我的另一个偶像
MSDN里的Microsoft Portable Executable and Common Object File Format Specification,官方资料。
如果你E文不好的话，就看候捷先生那篇就可以看通本文了。
如果你看不懂以上文档的话，嗯……我帮不了你了，哈哈，说笑了
想把一个程序嵌到另一个程序运行可以分为三个步骤:
1 修改PE文件头信息
2 增加一个段表信息(Section Table)
3 写入壳文件
下面是我对这三个步骤的详细说明。
1 修改PE文件头信息
.1 段数加一(NumberOfSections)
我们加了一个Section，这个数当然要加一了。
.2 修改程序入口(AddressOfEntryPoint)
这个就有不用说了吧！呵呵，把这个地址指到壳文件的入口就行了，注意的是要加上ImageBase 。
.3 增加代码大小(SizeOfCode)
是原来的大小加上壳文件的大小（壳的头部除外）。
.4 增加内存映像大小(SizeOfImage)
也是原来的大小加上壳文件的大小（壳的头部除外）。
.5 修改引入表(Import Table)入口(DataDirectory[1].VirtualAddress)
这个比较重要，请仔细看了。
我们知道，一般的windows的程序都有API的调用，这个Import Table里放的就是程序要调用的DLL的名称和各个函数的名称或序号。由于我们的外壳程序也要用到API的调用，所以我们必须把入口修改为外壳程序的Import Table的入口。一开始的时候，我本来想不修改这个入口的，但为了清除外壳程序时的方便，所以只有修改原Import Table的入口了，但这又引起了另一个麻烦，就是我们必需人工装入原程序的输入部分。也就是说，原来的程序要引用的DLL现在要外壳程序加载上去了，嗯……真是有得必有失啊。因为Import Table是装入器，也就是运行程序时把程序装入系统并运行的那个家伙，自动加载上去的，修改了原程序的入口之后，装入器就加载了壳程序的Import Table，而原程序的Import Table它就不管了（它不知道啊，怎么管？）。所以只有壳程序把这个粗活接下来了。
.6 修改引入表(Import Table)大小(DataDirectory[1].Size)
这个改为壳程序的引入表大小就可以了。
2 增加一个段表信息(Section Table)
.1 在最后一个段表信息之后增加一个段表信息".BOYU"
没有这个段表信息的话，系统才不管你加了什么东西进去呢。
3 写入壳文件
.1 把壳程序的exe文件中的涉及到地址部分相应地加上原程序的基址(ImageBase)，
一般来说是调用DLL，还有全局变量的时候要用到。
.2 保存原程序的ImageBase,AddressOfEntryPoint,Import Table入口(DataDirectory[1].VirtualAddress)在壳程序的.data 里的相应的变量偏移地址，以供壳程序使用。
.3 把壳程序的exe文件的三个段.code、 .rdata 、.data写入原exe文件的尾部，要注意段对齐(Section Align)
这三个段合并为一个，写到段表信息量".BOYU"的PointerToRawData所指的地方，因为要注意Section Align 所以前面可能要加上补足的部分。
