HeaderLessPE是一种移除了大多数字段的PE结构，由icedid木马所使用，本文通过对该技术的研究，扩展了该技术在HVNC下的攻击方式，使的通过远程注入后的HeaderLessPE可不受限制的运行图形化黑客工具。

typedef struct _HeaderLessSection {  DWORD  VA;             // 内存虚拟地址偏移  DWORD  VirtualSize;    // 内存加载大小  DWORD  RawOffset;      // 数据偏移  DWORD  RawSize;        // 数据大小  BYTE  Access;         // 内存属性}HeaderLessSection, * PHeaderLessSection;
typedef struct _HeaderLessPE{  PVOID  ImageBase;      // 映像基址  DWORD  ImageSize;      // 映像大小  DWORD  ImageEntryPoint;    // 入口函数  DWORD  ImportTableVA;      // 导入表  DWORD  RelocTableVA;       // 重定位表  DWORD  RelocTableSize;     // 重定位表大小  DWORD  SectionCount;       // 节区数量  HeaderLessSection Section[1];}HeaderLessPE, * PHeaderLessPE;

与Memdll等内存加载技术实现一致，加载HeaderLessPE时都需要自行编写loader代码分别将节区拷贝到内存、修复重定向与导入表，设置内存权限并调用入口函数。

HeaderLessPE的加载过程如下：

1. 申请内存并拷贝节区

PBYTE image = (PBYTE)VirtualAlloc(pe->ImageBase, pe->ImageSize, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);if (image == 0){    image = (PBYTE)VirtualAlloc(NULL, pe->ImageSize, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);}

2. 修复重定位

DWORD delta = (DWORD)((LPBYTE)image - (LPBYTE)pe->ImageBase);  //   0x40000 - 0x1400，0000 计算申请地址与基址的偏移

3. 修复导入表

4. 更改节区内存权限、并调用入口函数

entry = (pfnWinMain)((PBYTE)image + pe->ImageEntryPoint);entry(0,0, 0, 0);

相比MemDll等内存PE加载技术，HeaderLessPE有两个优点：

1. 避免包含传统PE的DOS头、PE头特征：DOS头和PE头经常是被内存扫描的照顾重点特征，在使用Cobalt Strike的时候常需要设置Profile文件将加载完成的Beacon头抹掉。使用HeaderLessPE就不需要担心这个问题。

2. 支持数据段和重定位表，能方便的将传统EXE文件转换为HeaderLessPE：只要是支持重定位，不包含如：Tls、delay import等结构都能够转换为HeaderLessPE, 这样不仅可以用来做木马内存模块，还可以将一些黑客工具方便的转换为HeaderLessPE进行内存加载运行，扩展可使用的攻击工具。

在程序绘制GUI时，首先会查找相对应的资源，并将其加载至内存。程序资源是指程序或应用程序使用的各种非代码元素，这些元素可以描述图像、音频、文本、图标、位图、对话框框架、字符串等等。编程时，加载菜单资源的关键代码如下：

HMODULE hModule = GetModuleHandle(NULL);HRSRC hResInfo = FindResource(hModule, MAKEINTRESOURCE(IDR_MYMENU), RT_RCDATA);DWORD dwSize = SizeofResource(hModule, hResInfo);HGLOBAL hResData = LoadResource(hModule, hResInfo);LPVOID lpRes = LockResource(hResData);

其中资源的类型可以是图标（Icon）、位图（Bitmap）、对话框（Dialog Box）、菜单（Menu）等。找到相应类型之后，再匹配具体资源标识符。如：

typedef struct _HeaderLessPE{  PVOID  ImageBase;      // 镜像基址  DWORD  ImageSize;      // 镜像大小  DWORD  ImageEntryPoint;    // 入口函数  DWORD  ImportTableVA;      // 导入表  DWORD  RelocTableVA;       // 重定位表  DWORD  RelocTableSize;     // 重定位表大小  DWORD   ResourceTableVA     // 资源表  DWORD   ResourceTableSize   // 资源表大小  DWORD  SectionCount;       // 节区数量  HeaderLessSection Section[1];}HeaderLessPE, * PHeaderLessPE;

HMODULE GetModuleHandleW( [in, optional] LPCWSTR lpModuleName );

HRSRC FindResourceExW( [in, optional] HMODULE hModule, [in] LPCWSTR lpType, [in] LPCWSTR lpName, [in] WORD wLanguage );

DWORD SizeofResource( [in, optional] HMODULE hModule, [in] HRSRC hResInfo );

HGLOBAL LoadResource( [in, optional] HMODULE hModule, [in] HRSRC hResInfo );

我们需要准备两个HeaderLessPE分别为loader和BrowsingHistoryView程序：

1. 挂起启动c:\windows\system32\mspaint.exe，申请远程进程内存。

2. 根据申请的地址，在本地修复loader程序的重定位和导入表。

3. 写入mspaint.exe内存，修改权限，修改RIP指向loader的入口函数，恢复mspaint.exe主线程，完成远程注入HeaderLessPE。

4. loader再次申请内存，加载BrowsingHistoryView程序的HeaderLessPE。

https://github.com/M01N-Team/HeaderLessPE

[1] https://github.com/strivexjun/MemoryModulePP.git

[2] https://doxygen.reactos.org/

[3] https://github.com/hasherezade/pe-sieve.git

[4] https://bbs.kanxue.com/thread-264956.htm