特 点：修复后，引擎会无条件地在 PE 文件尾部增加一个新资源节，这会导致文件体积变大；同
时它会将你的旧资源位置的所有资源数据清零（即置零）；新增资源节被命名为
“.rsrc”，以前存在的所有节名将被删掉，本步骤可以保证所有已知的资源工具对修复后
的资源进行查看、编辑。该功能适合对脱壳后 PE 文件资源的简单修复，用户无须具备任
何相关 PE 文件知识，简单易用。
<1> 输出函数 FixResFromFile
C 形式函数原型:
BOOL __stdcall FixResFromFile(const char* PEFile, char* ErrMsg);
Delphi 形式函数原型：
function FixResFromFile(const PEFile: PChar; ErrMsg: PChar): Boolean; stdcall;
Delphi 形式函数原型：
function FixResFromStream(PEStream: TMemoryStream; ErrMsg: PChar): Boolean;
参数说明：
PEStream 为 PE 映象的内存流，其他说明同 <1> 。
此函数对写脱壳机的用户特别适用，当你将 dump 出来的 PE 内存映象保存到硬盘之前，你可以先
进行资源修复。通过对内存流的操作，可以减少代码工作量。注意：该函数仅适用于 Delphi 语
言。
第二类：导出重建后的资源节功能。
特 点：由于不同的加壳程序对原始 PE 文件的结构改变的千差万别，导致对脱壳文件的 PE 结构
优化方案也是千差万别的，因此很难在一个程序里完成对所有脱壳类型的 PE 结构优化，
引擎将机会留给用户自己。作为使用者，你可能知道如何脱某种类型的壳以及如何优化脱
壳后的 PE 结构，那么你也就可能需要将修复或者重建后的资源节加载在你认为更合适的
RVA 地址起始处。该功能接口能满足你的这个定制需要。由于该功能的相对复杂性，要求
使用者必须对 PE 结构十分熟悉，因此本功能仅适合高级用户使用。
函数 <2>、<3> 对写脱壳机的用户特别适用，当你将 dump 出来的 PE 内存映象保存到硬盘之前，
你可能需要进行 PE 结构的优化，在优化之前很可能需要导出重建的资源节。通过对内存流的操
作，可以减少代码工作量。注意：以上两个函数仅适用于 Delphi 语言。
特别提示：引擎只在正确 PE 格式的基础上修复、重建 PE 资源，因此应用以上五个函数之前请保
证被操作文件或者内存流均具有正确的 PE 格式，否则可能造成不可预期的错误。
调用范例（Delphi 语言）：
procedure FixResDemo;
type
TFixPERes = function(const AFileName: PChar; ErrMsg: PChar): Boolean; stdcall;
var
ErrMsg: array[1..80] of Char;
Handle: THandle;
FixPERes: TFixPERes;
begin
Handle := LoadLibrary('DT_FixRes.dll');
if Handle <> 0 then
begin
@FixPERes := GetProcAddress(Handle, 'FixResFromFile');
if @FixPERes <> nil then
if not FixPERes(PChar('ur PE file'), @ErrMsg) then
ShowMessage(ErrMsg);
FreeLibrary(Handle);
end;
end;
[复制链接]
发表于 2010-6-12 16:17
|
发表于 2010-6-12 16:17
发表于 2010-6-12 16:34
