Итак решил написать простейший PE лоадер.
Правда столкнулся с проблемой:
при вызове некоторых API уже запущенным из памяти приложением происходит ошибка, так как происходит обращение к несуществующему адресу (00430C5C (пример)).
В чем может быть ошибка?
З.Ы.: ImageBaseAddress в PEB исправляю.
З.З.Ы.: критика, связанная с офрмление кода, привествуется =)
www.everfall.com/paste/id.php?2yrizlxr5q8s код
www.everfall.com/paste/id.php?lvawyn29joir load.h файл

| Сообщение посчитали полезным:

Кажется,понял в чем ошибка,но хз как исправить
UnmapViewOfFile((LPCVOID)dwAddress); вызовом этой процедуру мы подгот авливаем память к записи туда наело подопытного файла.
как правило, ImageBase(dwAddress = ImageBase файла) подопытных равен 00400000.
Но по этому адресу у нас спроецирована одна из системных билиотек(user32.dll), которая необходима нашему процессу.

| Сообщение посчитали полезным:

системная библа по такому адресу? врядли...

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

Едиснтвенное, то приходит в голову: это копирование некоего стаба,который загрузит на подопытный файл в память и запустит оттуда.

| Сообщение посчитали полезным:

так точнее, хотя тоже самое; а вообще структуры лучше проверить по не одному источнику, т.к. многие в них как нарочно корявки вставляют.
struct _PEB_LDR_DATA
{
unsigned long Length;
unsigned char Initialized;
void* SsHandle;
struct _LIST_ENTRY InLoadOrderModuleList;
struct _LIST_ENTRY InMemoryOrderModuleList;
struct _LIST_ENTRY InInitializationOrderModuleList;
}

| Сообщение посчитали полезным:

El_Diablo пишет:
при вызове некоторых API уже запущенным из памяти приложением происходит ошибка, так как происходит обращение к несуществующему адресу (00430C5C (пример)).
релоки обрабатываешь?

| Сообщение посчитали полезным:

El_Diablo пишет:
UnmapViewOfFile((LPCVOID)dwAddress); вызовом этой процедуру мы подгот авливаем память к записи туда наело подопытного файла.
На самом деле это ничто иное как расстрел памяти и приводит к ошибкам 2го порядка (когда ошибка напрямую не проявляется, а приводит к появлению другой ошибки).

З.Ы. По поводу оформления - больше похоже на асм, чем на С; поищи книгу Ален Голуб "Веревка достаточной длины, что бы встрелить себе в ногу".

| Сообщение посчитали полезным:

Очень странный загрузчик на ф-циях kernel32 с использованием низкоуровневых структур.

-----
продавец резиновых утёнков

| Сообщение посчитали полезным:

У кого-нить остались исходники старого доброго BO2K? Там был "правильный" загрузчик, со всеми релоками и т.д. При этом учитывал особенности 9х/NT.

| Сообщение посчитали полезным:

ashghost
BO2K at SourceForge http://sourceforge.net/projects/bo2k/

+ есть загрузчик на асме от Usar http://usar.pp.ru/ 'a

-----
EnJoy!

| Сообщение посчитали полезным:

Тоже есть вопрос про PE Loader.
Loader имеет базу 0x400000. Файл калькулятора XP SP2 - 0x01000000.
Пытаюсь исправить ImageBase модуля с 0x400000 на 0x01000000 следующим образом:

mov eax, fs:[30h]
mov eax, [eax+0Ch]
mov eax, [eax+0Ch]
lea ecx, [eax+18h]
mov eax, dwNewBase
mov dword ptr [ecx], eax

Но GetModuleHandleA все равно возвращает старую базу и файл не запускается.
Я с PEB мало знаком, подскажите ошибку. Простые файлы без ресурсов\GUI запускаются нормально.

| Сообщение посчитали полезным:

Там в PEB в трех связанных структурах LdrModule хранится BaseAdress exe-модуля самых первых (перед ntdll).
GlOFF пишет:Я с PEB мало знаком а зря, инфы куча, может с нее начнешь?

-----
продавец резиновых утёнков

| Сообщение посчитали полезным:

HiEndsoft пишет:
а зря, инфы куча, может с нее начнешь?
Подскажи как, с чего начать? По своему опыту, буду благодарен

| Сообщение посчитали полезным:

В архиве, а так начни хотя бы с прочтения Шрайбера.

8d50_25.02.2008_CRACKLAB.rU.tgz - PEB-TEB.txt

-----
продавец резиновых утёнков

| Сообщение посчитали полезным:

GlOFF
GetModuleHandle(0) берет значение из PEB.ImageBaseAddress
могли бы и потрейсить её)

| Сообщение посчитали полезным:

угу

7C80B6E4 |> \64:A1 18000000 MOV EAX,DWORD PTR FS:[18]
7C80B6EA |. 8B40 30 MOV EAX,DWORD PTR DS:[EAX+30]
7C80B6ED |. 8B40 08 MOV EAX,DWORD PTR DS:[EAX+8]
7C80B6F0 \.^ EB EE JMP SHORT kernel32.7C80B6E0


-----
[nice coder and reverser]

| Сообщение посчитали полезным:

Действительно. Ушел за Шрайбером.
HiEndsoft Спс за структурки.

| Сообщение посчитали полезным: