论坛风格切换切换到宽版
  • 19855阅读
  • 56回复

[分享]DT_FixRes--PE文件资源修复、重建引擎 !!! [复制链接]

上一主题 下一主题
离线rsoft
 
发帖
76
金钱
0
威望
0
只看楼主 倒序阅读 0 发表于: 2005-03-20
下载:http://www.eyming.com/temp/FixRes.rar
更新时间:3月20日 重新了三遍源码,这个版本还原的资源非常完美,正如我说
明中写的:对资源进行了完全优化,修复后的资源不含有任何垃圾数据,如同资源编译器的
编译效果,可以媲美未加壳前的原始资源。另外我增加了重要接口,功能更强大,使用前一
定看说明

更新时间:3月17日 pm 3:20 修正如下:
1.由于接口函数参数的类型,可能会导致一些潜在的 bug,因此我修改了部分接口函数参数,
并去掉了一个接口函数;
2.改写了对没有资源部分的 PE 格式的分析代码;
3.增加了对非法 resource RVA 的判断

版本更新说明:
我重写了大部分代码,并进行了大量测试,被测试的加壳程序:UPX v0.72, v1.25, FSG v2.0,
Aspack v2.12,其中UPX 0.72 对资源的处理比较变态,不过引擎针对此情况做了正确的分析,
目前完全可以正确地修复、重建 PE 资源,修复后 PE 文件资源可以被eXeScope、ResHacker、
PE Explorer 查看、编辑,非常好用了。

为了证明我的程序我更具有优越性,我测试了几个 fly 给我的俄国老写的类似程序,包括
pResFix v.0.2 by hapatsa,
ResFixer v 1.0 beta 1 by seeQ,
Resource Rebuilder v1.0 by Dr.Golova
他们只是简单地将重建后的 resource section 保存成数据文件,如果你想生成真正能运行的
修复资源后的PE文件可能你自己还要做很多辅助工作,对PE格式、资源结构不熟悉的朋友我估
计很困难恢复到可用状态,而我的程序把所有这一切均简单化、自动化,生成真正的资源修复
后的可执行PE文件。

简介:
  很多被加壳的 PE 文件在脱壳以后,往往该 PE 文件的资源部分无法用某些资源查看器进行
查看、修改。这其中的主要原因是由于很多加壳程序将部分资源(如 Icon、Version
Information) 从资源节 (resource section) 移到了壳增加的节里,这导致很多资源查看器不能
正确识别分布在两个节里的资源(顺便说一下,PE Explorer 基本能识别大部分这种情况的资
源),DT_FixRes 是一个 PE 文件资源修复、重建引擎,它可以将分布在多个节里的资源重新移
到一个资源节里,并且对资源进行了完全优化,修复后的资源不含有任何垃圾数据,如同资源编
译器的编译效果,可以媲美未加壳前的原始资源。通过本引擎修复、重建脱壳后的 PE 文件资源,
可以让所有资源查看器能够对资源部分进行查看、修改。使用者须通过编程方式在自己的程序中
使用该引擎。该引擎特别适合进行软件汉化工作的朋友。

声明:
  1.您可以免费使用该引擎,如果您发布了使用该引擎的程序,请在相关说明中注明该引擎的版
权信息,以表示支持作者的辛勤劳动;
  2.本软件是安全的,但是作者不承诺对任何由于使用本软件而引起的损失或者伤害负责。

使用说明:
  本引擎以动态链接库(dll)形式实现,该 dll 共输出五个函数,函数按功能分为两大类。

第一类:PE 文件资源修复功能。修复后,引擎会无条件地为 PE 文件增加一个资源节,会导致文
    件体积变大,该功能适合进行简单修复脱壳后 PE 资源部分。

<1> 输出函数 FixResFromFile

C 形式函数原型:
BOOL __stdcall FixResFromFile(const char* PEFile, char* ErrBuff);

Delphi 形式函数原型:
function FixResFromFile(const AFileName: PChar; ErrMsg: PChar): Boolean; stdcall;

参数说明:
PEFile --- 指向你需要进行资源修正的 PE 文件路径指针;
ErrBuff --- 指向一块至少具有 80 个字节空间的 Buffer 指针,在执行该函数返回错误时,接收
        错误消息。

该函数适用任何 Win32 平台的编程语言去调用。

<2> 输出函数 FixResFromStream

Delphi 形式函数原型:
function FixResFromStream(AStream: TMemoryStream; ErrMsg: PChar): Boolean;

参数说明:
AStream 为 PE 映象的内存流,其他说明同 <1> 。

此函数对写注册机的朋友特别适用,当你将 dump 出来的 PE 内存映象保存到硬盘之前,你可以先
进行资源修复,通过对内存流的操作,可以减少代码工作量。注意:该函数仅适用于 Delphi 语言。

第二类:导出重建后的资源节功能。由于不同的加壳程序对原始 PE 文件的结构改变的千差万别,
    导致对脱壳文件的 PE 结构优化方案也是千差万别的,因此很难在一个程序里完成对所有
    脱壳类型的 PE 结构优化,引擎将机会留给用户自己。作为使用者,你可能知道如何脱某
    种类型的壳以及如何优化脱壳后的 PE 结构,那么你也就可能需要将修复后的资源节加载
    在你认为更合适的 RVA 地址起始处。该功能接口能满足你的这个定制需要,由于该功能的
    相对复杂性,要求使用者对 PE 结构必须十分属性,因此本功能仅适合高级用户使用。

<1> 输出函数 DumpResFromFile

C 形式函数原型:
BOOL __stdcall DumpResFromFile(const char* PEFile, char* ResFile,
DWORD NewRVA, DWord FileAlign, char* ErrBuff);

Delphi 形式函数原型:
function DumpResFromFile(const PEFile: PChar; const ResFile: PChar;
NewRVA: DWord; FileAlign: DWord; ErrMsg: PChar): Boolean; stdcall;

参数说明:
PEFile --- 指向你需要进行资源修正的 PE 文件路径指针;
ResFile --- 指向你需要导出的资源节的保存文件路径;
NewRVA --- 你希望修复后的 PE 文件资源的加载 RVA 地址,即 resouce data directroy 的
      virtual address。该地址应该大于 0x1000,并且应该是 DWORD 边界对齐,建议是
      0x1000 的倍数。
FileAlign --- 资源节的文件对齐方式,值只能是 0x200 或者 0x1000。
ErrBuff --- 指向一块至少具有 80 个字节空间的 Buffer 指针,在执行该函数返回错误时,接收
        错误消息。

该函数适用任何 Win32 平台的编程语言去调用。

<2> 输出函数 DumpResFromStream

Delphi 形式函数原型:
function DumpResFromStream(PEStream: TMemoryStream; const ResFile: string;
NewRVA: DWord; FileAlign: DWord; ErrMsg: PChar): Boolean;

参数说明:
PEStream 为 PE 映象的内存流,其他说明同 <1> 。

通过对内存流的操作,可以减少代码工作量。注意:该函数仅适用于 Delphi 语言。

<3> 输出函数 DumpResFromStreamEx

Delphi 形式函数原型:
function DumpResFromStreamEx(PEStream: TMemoryStream; ResStream: TMemoryStream;
NewRVA: DWord; FileAlign: DWord; ErrMsg: PChar): Boolean;

此函数对写注册机的朋友特别适用,当你将 dump 出来的 PE 内存映象保存到硬盘之前,你可能需
要进行 PE 结构的优化,在优化之前很可能需要导出重建的资源节。通过对内存流的操作,可以减
少代码工作量。注意:该函数仅适用于 Delphi 语言。

特别提示:引擎只在正确 PE 格式的基础上修复、重建 PE 资源,因此应用以上五个函数之前请保
证被操作文件或者内存流均具有正确的 PE 格式,否则可能造成不可预期的错误。

调用范例(Delphi 语言):
procedure FixResDemo;
type
TFixPERes = function(const AFileName: PChar; ErrBuff: PChar): Boolean; stdcall;
var
ErrBuff: array[1..80] of Char;
Handle: THandle;
FixPERes: TFixPERes;
begin
Handle := LoadLibrary('DT_FixRes.dll');
if Handle <> 0 then
begin
  @FixPERes := GetProcAddress(Handle, 'FixResFromFile');
  if @FixPERes <> nil then
    if not FixPERes(PChar('ur PE file'), @ErrBuff) then
    ShowMessage(ErrBuff);
  FreeLibrary(Handle);
end;
end;
离线踏雪无痕

发帖
324
金钱
80
威望
8
只看该作者 1 发表于: 2005-03-21
这个软件太棒了!正愁着手里有一个软件无法重建资源!这一下子就解决了!我手里这个软件比较特别,使用VL或PASS打开后什么也不做直接生成目标文件就无法运行!!这回好了,用这个软件重建资源后一路OK!谢谢!!!
Misses someone whom I never meet; Calls a number which will never get through; Dates someone who never appears; Plants a flowerwhich will never wither... ... Never try...Never know
离线Snoopy

发帖
2128
金钱
10
威望
1
只看该作者 2 发表于: 2005-03-22
不错的工具,对汉化很有帮助啊,谢谢!
为什么修复后的程序用 PEiD 查看,EP 区段总是空的?不知道这对程序功能是否有影响
看到帖子标题,偶万里迢迢、赤身裸体、挥刀自宫、头扎红布、跪碎玻璃、磕头到出血、胸口碎大石、喉头顶钢枪、无视艰难险阻、全身插刀抽搐、求助喝氰化钾、看央视笑傲江湖、欣赏脑白金广告、十里长街卖身跪地、倒立 3600 度后空翻、肩抗 150 公斤杠铃、专程赶过来支持一下子!
图像加密帖
离线chenmy

发帖
2863
金钱
60
威望
6
只看该作者 3 发表于: 2005-03-23
各位请勿在此置顶贴中灌水!

请回复些有实质性的内容!!
我是中国人·最爱是中文!
离线王惟珍
发帖
4
金钱
0
威望
0
只看该作者 4 发表于: 2005-03-30
下载参考一下!
离线sunbinjin
发帖
691
金钱
0
威望
0
只看该作者 5 发表于: 2005-04-07
我看了一个,这个DEMO怎么用啊?
能简单的介绍一下用法不?
是不是先用其它工具脱壳,再用你这个来修复脱壳了的程序但又不能编辑的?
离线sunbinjin
发帖
691
金钱
0
威望
0
只看该作者 6 发表于: 2005-04-07
太久没上网了,晕,跟不上时代了
离线xiaoyi

发帖
990
金钱
180
威望
18
只看该作者 7 发表于: 2005-04-07
的确不知道怎么用,能不能解说一下?谢谢!
离线网络傀儡
发帖
12
金钱
0
威望
0
只看该作者 8 发表于: 2005-04-08
好用啊!没想到还有这么好的汉化!正好手头一大堆!用上了!
离线xiaoyi

发帖
990
金钱
180
威望
18
只看该作者 9 发表于: 2005-04-09
QUOTE(网络傀儡 @ 2005年04月08日 15时56分)
好用啊!没想到还有这么好的汉化!正好手头一大堆!用上了!
[snapback]202723[/snapback]


是不是点击这个按钮就完事了?