【转贴】一点点成就感，分享一下：从内存中加载并启动一个exe

[clasj]

Delphi版牛人Idle_(阿呆)的作品，小弟只是转换成了VC版本，详情请参见源文：）
http://community.csdn.net/Expert/topic/4416/4416252.xml?temp=.950268

引源文一段话：
windows似乎只提供了一种启动进程的方法：即必须从一个可执行文件中加载并启动。
而下面这段代码就是提供一种可以直接从内存中启动一个exe的变通办法。
用途嘛, 也许可以用来保护你的exe，你可以对要保护的 exe 进行任意切分、加密、存储，只要运行时能将exe的内容正确拼接到一块内存中，就可以直接从内存中启动，而不必不安全地去生成一个临时文件再从临时文件启动进程。另外这段代码也提供了一种自己写exe外壳的简单途径，如果能配合其它各种外壳技术就更好地保护你的exe文件。

原理很简单：就是“借尸还魂”，启动一个僵尸进程（NT下可以是自身程序启动的另一个进程），然后在它运行前将其整个替换成内存中的exe内容，待正式运行后执行的就是你的目标代码了。

不过代码中还有一些不尽人意的地方，比如在98下运行会留一个僵尸程序的壳在硬盘上（其实那个僵尸程序本身就是一个完整的可执行程序，直接运行的话只显示一条错误信息然后就退出了）。另外由于客观条件限制，代码没有经过充分测试，只在XP下进行了一些初步测试：普通exe都能正常运行，upx压缩过的exe绝大多数情况下都能运行，只有在不能卸载僵尸外壳时才有问题（upx压缩过的exe没有重定向表，无法加载到其它地址运行）。

如果有bug望告之，如果有更好的方法特别是能解决98下的遗留尾巴的话希望不吝赐教。
---------------------------------------------------------------------------------------

小弟没有翻译Win98下处理的方法，请大家参考原文：）

// MemPE.cpp : Defines the entry point for the DLL application.
//

#include "stdafx.h"

typedef IMAGE_SECTION_HEADER (*PIMAGE_SECTION_HEADERS)[1];

// 计算对齐后的大小
unsigned long GetAlignedSize(unsigned long Origin, unsigned long Alignment)
{
return (Origin + Alignment - 1) / Alignment * Alignment;
}

// 计算加载pe并对齐需要占用多少内存
// 未直接使用OptionalHeader.SizeOfImage作为结果是因为据说有的编译器生成的exe这个值会填0
unsigned long CalcTotalImageSize(PIMAGE_DOS_HEADER MzH, unsigned long FileLen,
PIMAGE_NT_HEADERS peH, PIMAGE_SECTION_HEADERS peSecH)
{
unsigned long res;
// 计算pe头的大小
res = GetAlignedSize(peH->OptionalHeader.SizeOfHeaders, peH->OptionalHeader.SectionAlignment);
// 计算所有节的大小
for(int i=0; i < peH->FileHeader.NumberOfSections; ++i)
{
if(peSecH[i]->PointerToRawData + peSecH[i]->SizeOfRawData>FileLen){// 超出文件范围
return 0;
}
else if(peSecH[i]->VirtualAddress){//计算对齐后某节的大小
if(peSecH[i]->Misc.VirtualSize){
res = GetAlignedSize(peSecH[i]->VirtualAddress + peSecH[i]->Misc.VirtualSize,
peH->OptionalHeader.SectionAlignment);
}
else{
res = GetAlignedSize(peSecH[i]->VirtualAddress + peSecH[i]->SizeOfRawData,
peH->OptionalHeader.SectionAlignment);
}
}
else if(peSecH[i]->Misc.VirtualSize < peSecH[i]->SizeOfRawData){
res += GetAlignedSize(peSecH[i]->SizeOfRawData, peH->OptionalHeader.SectionAlignment);
}
else{
res += GetAlignedSize(peSecH[i]->Misc.VirtualSize, peH->OptionalHeader.SectionAlignment);
}
}
return res;
}

[alen_ghl]

学习
mark一下

[legendhui]

up

[g961681]

再顶下～～～～

[yyxc306]

UP TO U

[pomelowu]

收藏，建议斑竹加精

[qiulongxiong]

谢谢斑竹

[thisisll]

保存

[uglyquasimodo]

up

[clasj]

多谢大家支持，总算没白辛苦

[oliver_vc]

我初学还不太懂，不过还是很佩服楼主的啊！

[RockHwnd]

不错啊,值得学习

[languagec]

[Snow_Ice11111]

当之无愧的精华贴，不顶对不住楼主，感谢！收藏了，今后一定会用得上的！

[smartcomplier]

强！

[clasj]

源帖已经结了：）

[ShiGang]

UP! 中国软件业的振兴，需要这样的热血青年。

[clasj]

MemPE.cpp这个文件不需要MFC支持，用的都是API，你在程序中include <windows.h>就可编译通过，不过我给的那段测试程序需要MFC的支持，因为用到了MFC里面的一些类，你可以建立一个支持MFC的Console程序，然后把MemPE.cpp和测试程序加进去编译执行。

[clasj]

多谢大家支持啊，希望大家有空也去支持一下源帖，等到源帖结帖，我就结帖了：）

[huangjianmin]

我晕啊,看了半天没看完.
楼主可以说一下程序是怎么运行的吗.
运行在什么程序下,控制台?还是MFC下方便?俺境界不够.很多地方看不懂.

[EagleTwenty]

mark一下，回家细细研究