如何在内存中找到Win32入口点和代码注入最好使用Debug Apis？

Question

我知道嗅探器，我可以使用win32 debug apis编写一个。但在这里，我想找到可执行文件的entypoint并在那里注入代码。调试apis可以实现吗？或任何其他方式处理代码，而不是像olly这样的工具。

Answer 1

您需要查看可移植可执行文件格式，并了解它， 以下是一些帮助您入门的资料来源：

• http://msdn.microsoft.com/en-us/library/ms809762.aspx
• http://msdn.microsoft.com/en-us/magazine/cc301805.aspx
• http://msdn.microsoft.com/en-us/magazine/cc301808.aspx
• http://tuts4you.com/download.php?view.235
• http://net.pku.edu.cn/~course/cs201/2003/mirrorWebster.cs.ucr.edu/Page_TechDocs/pe.txt - 这特别有用。

对于您的使用，AddressOfEntryPoint指针可以位于IMAGE_OPTIONAL_HEADER结构中，该结构位于IMAGE_FILE_HEADER结构中，它是要执行的第一条指令的RVA（相对虚拟地址）。如果要从一开始就转移执行流程，则需要将此字段中的值更改为新的RVA，并且将首先执行新RVA中的指令。