.text 部分开头/结尾的额外空格答案

【问题标题】：Extra space at the beginning/end of .text section.text 部分开头/结尾的额外空格
【发布时间】：2020-05-24 18:41:12
【问题描述】：

我正在寻找一种方法，使用 Visual Studio 编译器在 C/C++ 的 .text 部分的开头/结尾处保留一些额外空间。

我只找到了一种解决方案，说明如何在 Visual Studio 的代码部分保留一些额外空间： PE File .text Section Size

#pragma optimize( "", off )
#define NOP __asm { NOP } ;
#define NOP8 NOP NOP NOP NOP NOP NOP NOP NOP
#define NOP64 NOP8 NOP8 NOP8 NOP8 NOP8 NOP8 NOP8 NOP8 
#define NOP512 NOP64 NOP64 NOP64 NOP64 NOP64 NOP64 NOP64 NOP64
#define NOP4096 NOP512 NOP512 NOP512 NOP512 NOP512 NOP512 NOP512 NOP512
#define NOP32768 NOP4096 NOP4096 NOP4096 NOP4096 NOP4096 NOP4096 NOP4096 NOP4096
void unused_global() { NOP32768 }
#pragma optimize( "", on )

int main() {
   [...]
   unused_global(); // <-- Without this call, compiler doesn't include `unused_global` inside .text section
}

这个解决方案的问题是：

需要直接调用此函数。这当然会打破应用逻辑。
不保证 unused_global 函数将放置在 .text 部分。
太棒了，所以我很想听听更清洁的解决方案

更新

我找到了 1) 问题的解决方案。这又是一个很棒的 hack：

int main() {
    volatile bool force_false = false;
    if (force_false) unused_global();
}

【问题讨论】：

一些上下文会有所帮助。在 PE 映像中浪费空间通常不是最好的方法，无论您要完成什么。
我想写一个PE-mutator。我想从简单开始，因此不必在程序编译后调整 .text 部分的大小，因为它需要移动其他部分。突变需要一些额外的空间，因为通常我会将xor eax, eax 等操作替换为mov eax, 1; dec eax 等等。

标签： c++ visual-studio code-injection portable-executable sections

【解决方案1】：

对于 VS 2019，以下分别在代码段的开头和结尾保留 4K。

#pragma section(".constext", read)
#pragma section(".xonstext", read)
#pragma comment(linker, "/merge:.constext=.text")
#pragma comment(linker, "/merge:.xonstext=.text")

extern "C" __declspec(allocate(".constext")) const char before[0x1000]{ __COUNTER__ };
extern "C" __declspec(allocate(".xonstext")) const char after[0x1000] { __COUNTER__ };

int main()
{
    return before[0] + after[0] - 1;
}

地图文件确认放置。

Preferred load address is 00400000

Start         Length     Name                   Class
0001:00000000 00001000H .constext               CODE
0001:00001000 00000bc8H .text$mn                CODE
0001:00001bc8 00001000H .xonstext               CODE
0002:00000000 000000b4H .idata$5                DATA
[...]

 Address         Publics by Value              Rva+Base       Lib:Object
[...]
0001:00000000       _before                    00401000     constext.obj
0001:00001000       _main                      00402000 f   constext.obj
[...]
0001:00001bc8       _after                     00402bc8     constext.obj
0002:00000000       __imp__SetUnhandledExceptionFilter@4 00404000     kernel32:KERNEL32.dll
[...]

相当奇怪的是，优化后的编译将main 中的return 识别为普通的0，但不会导致虚拟数组引用被优化掉。

PUBLIC  _main
;       COMDAT  _main
_TEXT   SEGMENT
_main   PROC    ; COMDAT
; 14   :        return before[0] + after[0] - 1;
        xor     eax, eax
; 15   : }
        ret 0
_main   ENDP
_TEXT   ENDS

【讨论】：