一个简单的壳源码

最近出差，偶有闲暇，写了个简单的壳，先声明下，此壳部分内容借鉴看雪论坛某位大侠（现在搜索找不到了，所以名字忘记了）名为shell的程序。

主要实现有以个方面的功能：

1，对text块进行RC4加密，组织程序被IDA等静态工具分析。

2，替换程序中的部分API函数，让其执行到API函数时能跳到壳执行相关代码后再跳回。

3，在壳中加了CRC和自己随便写的一个CheckSum用来检验程序的完整性，以用来防止程序被修改。

4，加了部分anti。

此壳可扩充的空间：

1，可增加更多anti.

2，可扩展为输入表加密。

3，因为加壳后的程序被替换了API函数，所以执行时必定会跳回壳代码中执行，因此如果给壳做VM的话，可大大加大难度！此点本人已实现，但不好放出来：）

4，目前只支持exe文件，可扩展为支持dll文件的加壳。

摘录此壳的主要流程：

CreatefileBak(OpenFileName);//加密前先创建备份文件
PeFileToEncrypt.OnInitPE(OpenFileName);//建立映像文件,初始化 PIMAGE_DOS_HEADER dosHeader等信息
bool IsValid=PeFileToEncrypt.CheckIfValidPE();//由PE文件里面的信息来判断是否为PE文件
if(IsValid)//目前只支持对exe文件加壳
{
//pImageFileHeader->SizeOfOptionalHeader,可选头（文件头）大小，此字节一般用来添加块。
PeFileToEncrypt.GetPoniterToSection();
//pImageOptionalHeader->AddressOfEntryPoint,程序入口，RVA地址
PeFileToEncrypt.GetEntryPoint();
//初始化asm用的全局变量
PeFileToEncrypt.InitGloablForAsm();
//计算入口地址，便于被加壳文件的载入，计算后的入口地址即一般为0x400000+RVA(GetEntryPoint函数中得到)
PeFileToEncrypt.CalculateOldEntryPoint();
//计算节表尾部的RVA，即最后一个块的尾部地址

PIMAGE_SECTION_HEADER pTmp_Setion=PeFileToEncrypt.pSection;

//先增加一区段
DWORD sectionAddr;//为已加+(DWORD)pImageBase的值。
sectionAddr = PeFileToEncrypt.AddsecHeader(".pack");//返回的地址为新增区块的文件首地址

for(int i=0;i<PeFileToEncrypt.NumberOfSection;i++)
//对每个section调用Encrypt_sections,能加密的节加密，不能加密的修改节名，修改节的属性
{
PeFileToEncrypt.Encrypt_sections(pTmp_Setion);//
pTmp_Setion++;//下一个section
}
if(PeFileToEncrypt.IsEncrypted)//此变量表示需加密
{
// 在壳中加入RC4算法函数
theApp.dwGlobelInjectAddress = PeFileToEncrypt.InjectRC4EncryptFuction(sectionAddr);
//插入CRC32校验函数部分
theApp.dwGlobelInjectAddress = PeFileToEncrypt.InjectCRC32Fuction(theApp.dwGlobelInjectAddress);
//插入CRC32校验部分
theApp.dwGlobelInjectAddress = PeFileToEncrypt.InjectWriteCRC32OrCheckSum(theApp.dwGlobelInjectAddress,
PeFileToEncrypt.dwCRCChecksum,PeFileToEncrypt.dwCRC32FuctionAddress);
//插入CHECKSUM校验函数部分
theApp.dwGlobelInjectAddress = PeFileToEncrypt.InjectCheckSumFuction(theApp.dwGlobelInjectAddress);
//插入CHECKSUM校验部分
theApp.dwGlobelInjectAddress = PeFileToEncrypt.InjectWriteCRC32OrCheckSum(theApp.dwGlobelInjectAddress,
PeFileToEncrypt.dwChecksum,PeFileToEncrypt.dwCheckSumFuctionAddress);

theApp.dwGlobelInjectAddress = PeFileToEncrypt.InjectAntiDebug(theApp.dwGlobelInjectAddress);

//插入API替换函数调用
PeFileToEncrypt.InjectApiReplace();
//最后插入Loder
PeFileToEncrypt.InjectLoaderByWriteFile(sectionAddr);//此地址为文件偏移地址

AfxMessageBox("加壳成功！");
}

}
else
{
AfxMessageBox("不支持此文件，请确认为有效PE文件！");

}
PeFileToEncrypt.CloseHandleOfPe();

具体源文件见相关下载。