如何在新增节中插入代码？——PE文件节表扩展实战
💡
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
在PE文件逆向分析中，新增节是一种常用的插码方式，适用于加壳和恶意代码注入。文章介绍了手动扩展PE文件节表的流程，包括读取PE文件、修改节表、插入代码（如MessageBox）、修改入口点及保存新文件。成功后可在新节中看到插入的代码并正常运行。
🎯
关键要点
- 新增节是一种常用的插码方式，适用于加壳和恶意代码注入。
- 向现有节插码空间有限，不适合大段代码，某些节不允许执行，改动过大容易破坏已有逻辑。
- 新增节的优势包括更大的空间和自定义读写执行权限。
- 功能入口为TestAddCodeInNewSec()，封装了新增节、写入代码、跳转执行的逻辑。
- 实现流程包括读取PE文件、转换格式、修改节表、分配空间并写入代码、修改OEP和保存新文件。
- 插入的代码内容为调用MessageBoxA的汇编代码。
- 运行效果显示成功新增节并插入代码，能够正常弹窗。
- 常见问题包括程序崩溃、插入无效和弹窗不出现，解决办法涉及设置节权限和确保对齐。
❓
延伸问答
新增节在PE文件中有什么优势？
新增节提供更大的空间和自定义读写执行权限，且不影响原有节内容。
如何手动扩展PE文件的节表？
手动扩展PE文件节表的流程包括读取PE文件、修改节表、分配空间并写入代码、修改入口点及保存新文件。
插入的代码内容是什么？
插入的代码是调用MessageBoxA的汇编代码，用于弹出窗口。
在新增节中插入代码时常见的问题有哪些？
常见问题包括程序崩溃、插入无效和弹窗不出现。
如何解决程序崩溃的问题？
确保节权限设置为可执行，标志为IMAGE_SCN_MEM_EXECUTE。
如何修改PE文件的入口点？
修改PE头中的AddressOfEntryPoint，指向新增节的起始地址。
➡️
