Modifier un programme windows en hexadecimal

Bonjours, je savais pas trop où poster ce sujet alors je me suis permis de le faire ici.
Je souhaiterais ajouter des instructions à un programme (.exe). En examinant avec un editeur hexadecimal (EditHexa) des exécutables windows d'un programme HelloWorld que j'ai compilé en C avec Code::Blocks, DevCpp, et Vc j'ai pu remarquer quelques similitudes. J'ai remarquer aussi que des libraries, des commandes, des fonctions et des programmes étaient appelés.

J'aimerais que vous me guidiez vers des documents me permettant de comprendre comment un programme est exécuté sous windows, et des documents sur des méthodes pour ajouter des instructions à un programme.
Enfin bref tous ce qui pourrait m'aider ;)

Merci,
Cordialement Zestyr

Try not ! Do or do not ! There is not try !

Salut, veuillez escuser mon temps de réponse.
Merci beaucoup pour vos réponses
Avec un debugger c'est plus claire. J'aimerais aussi savoir où ( la position ) l'on peut rajouter des instructions en hexa pour qu'elle soit exécutées.

Un grand merci aussi à ceux qui pourront me donner des informations supplémentaire,
Cordialement Zestyr

Try not ! Do or do not ! There is not try !

Je sais que IDA le fait, mais pour les autres debuggers je l'ignore.

VB.NET is good ... VB6 is better
Utilise Réponse acceptée quand un post répond à ta question

salut,



tout dépend de ce que ton programme doit faire. Le problème si tu modifie un programme avec son binaire, c'est que tu dois pouvoir justement creer de la place pour ajouter ton code dedans. Soit ajouter une section et lancer dans le programme par un call, jmp ou modifier le point d'entrée, le header pourrait être a modifier (checksum, ...). Soit modifier le programme pour gagner de la place tout en conservant ses besoins de base et ajouter ton code dans les trous obtenus. Avec un programme codé en C, c'est assez simple de gagner de la place, avec un programme codé en assembleur, ça pourrait être plus compliqué vu qu'à la base, il devrait être optimisé.

@++

La méthode la plus propre à mon sens est d'injecter une DLL dans le programme à son démarrage qui modifiera des morceaux de code de ce dernier. Pour ton info, Windows ne s'occupe pas du checksum des exécutables.

VB.NET is good ... VB6 is better
Utilise Réponse acceptée quand un post répond à ta question

C'est quoi le checksum d'un exécutable ? ( j'ai une petite idée mais bon ... )

@ghuysmans99: Comment s'y prendre pour injecter une DLL ?

@patatalo: Y'a t'il une méthode plus ou moins universel pour faire de la place ? Dans mon exécutable codé en C il y a pleins de octets avec une valeur hexadécimal de 00 qui se suivent, puis-je rajouter des instructions là ? Il y a quelques jours

Try not ! Do or do not ! There is not try !

1) Réponse sur CodeProject : [ Lien ]

2) Tu dois créer un thread dans le process qui chargera la DLL dans son espace mémoire. Il y a plein d'exemples sur le site.

VB.NET is good ... VB6 is better
Utilise Réponse acceptée quand un post répond à ta question

re,



non, pas de methodes universelle pour gagner de la place etant donné que déjà, il n'y a pas de code universel.

le plus simple serait peut-être de voir en fin de programme car l'alignement est de 4Ko en memoire mais encore une fois, rien de sur car le code pourrait avoir une taille alignée sur 4ko pile ou un peu moins et donc, pas de place.

il est possible aussi de gratouiller quelques octets par-ci par-là avec les alignements de fonctions.

Sinon, il faut recoder une fonction avec le debugger pour gagner quelques octets et faire les modifs dans le fichier hexa.

tu peux aussi mettre un VirtualAlloc et un ReadFile pour charger un bout de code en mémoire mais ce code n'aura pas d'offset fixe et devra donc être prévu pour fonctionner sans.

Pour la modification des 0, je dirais pourquoi pas mais si tu regarde avec un editeur hexa, assure toi de ne pas être dans la section data. Même en section code, il n'est pas dit qu'un programme n'utiliserait pas cet emplacement pour une raison ou une autre si il s'attends a être initialisé a 0, il pourrait ne plus fonctionner.

Le plus simple serait peut-être quand même d'agrandir la section code.

@++