该程序可从命令行提取一文件名，或出现对话框要求选择一文件，该文件必须是有效的PE可执行文件，如果该程序中曾使用动态链接库USER32.dll中的函数MessageBoxA，则向该程序中新添加一段指令，用来显示一个消息框，若未曾使用此函数，则不再修改此文件。由于本人对PE格式文件认识肤浅，程序可能不够完善，仅供初学者参考，高手看看，可提些改进意见！
    本程序在运行时要修改代码段，编译方法可参考“系列11：把数据写到代码段”。
    本程序不增加源程序大小，不适合对手工处理的PE文件操作。
----------------------------------------------------------------------
;文件名：19.asm
此文用老罗的代码着色器处理，在此向老罗表示感谢！

.386
.model flat,stdcall
Option CaseMap:none

include windows.inc
include kernel32.inc
include user32.inc
include comdlg32.inc

includelib kernel32.lib
includelib user32.lib
includelib  comdlg32.lib

                .data
ofn             OPENFILENAME <0>                     ;打开文件对话框要用到该结构
FileName        db 256 dup(0)
Caption         db 'GetCommandLine',0
FilterString    db '可执行文件(*.exe)',0,'*.exe',0,0  ;文件过滤器字符串
DialogTitle     db '请选择要打开的文件', 0
MessageTitle    db '你选择的文件',0
NoFileError     db '程序没有选择文件，不能继续进行！',0
ErrorTitle      db '警告',0
ErrorPEFormat   db '无效的PE格式文件',0
RightPEFormat   db '有效的PE格式文件',0
szDll           db 'USER32.dll',0
szFunction      db 'MessageBoxA',0
ErrorMessage    db '所选文件中不曾使用 MessageBoxA 函数！',0
CanNotModify    db '原代码段内不足以放下新增部分！',0
OkModify        db '所选程序已经被成功修改！',0

                .data?
hFile           dd  ?
hMap            dd  ?
pMapAddr        dd  ?
ptext           dd  ?
prdata          dd  ?
MsgBoxA         dd ?

GetFileNameFromCommandLine   PROTO   :LPSTR
ModifyFile  PROTO  :LPSTR

        .code
start:
        call GetFileName    ;取文件名
        .if eax==NULL       ;无文件名
            invoke MessageBox,NULL,addr NoFileError,addr ErrorTitle,MB_ICONEXCLAMATION
        .else
            call WinMain    ;修改文件
        .endif
        invoke ExitProcess,NULL

WinMain proc
   invoke CreateFile, \                  ;打开文件，该函数具有多种功能
   addr FileName,\                       ;指向要打开的文件名字符串
   GENERIC_READ or GENERIC_WRITE ,\      ;打开的文件具有读写的权限
   FILE_SHARE_READ or FILE_SHARE_WRITE,\ ;别人也可读写此文件
   NULL, \                               ;95下不用
   OPEN_EXISTING, \                      ;要打开的文件必须存在
   FILE_ATTRIBUTE_NORMAL,\               ;文件的属性
   NULL                                  ;95下必须是NULL
   .if eax!=INVALID_HANDLE_VALUE         ;判断文件是否已正常打开
      mov hFile, eax                     ;保存文件句柄
      invoke CreateFileMapping, \  ;Creat File mapping Object
       hFile, \                    ;Identifies the file from which to create a mapping object
      NULL, \                      ;ignored
      PAGE_READWRITE, \            ;access
      0, \                         ;high-order 32 bits of the maximum size
      0, \                         ;low-order 32 bits of the maximum size
      NULL                         ;the mapping object is created without a name
      .if eax!=NULL                ;
         mov hMap,eax              ;the return value is a handle to the file-mapping object
         invoke MapViewOfFile,hMap,FILE_MAP_WRITE,0,0,NULL ;映射文件到内存
         .if eax!=NULL
            mov pMapAddr,eax                 ;保存返回的内存块首地址
            invoke ModifyFile,pMapAddr       ;修改内存块内容
            invoke UnmapViewOfFile,pMapAddr  ;解除文件映射
         .endif
         invoke CloseHandle,hMap        ;关闭内存映射文件
      .endif
      invoke CloseHandle, hFile         ;关闭文件
   .endif
    ret
WinMain endp

;获取要处理的文件名
;  返回：若eax=NULL则表示没提供要处理的文件名
;        否则eax指向文件名地址
GetFileName Proc
        invoke GetFileNameFromCommandLine,addr FileName
        .if eax==NULL
            call GetFileNameFromDialog
        .endif
        ret
GetFileName endp

;返回时若eax=NULL则表示无法从命令行提取被处理的文件
GetFileNameFromCommandLine  proc uses esi edi ,lpString:LPSTR
        mov edi,lpString
        invoke GetCommandLine    ;取命令行参数
        mov esi,eax
        xor eax,eax
        cld
G1:
        lodsb
        cmp al,'"'      ;程序名项是以双引号开始吗？
        jnz G3
G2:
        lodsb
        cmp al,'"'      ;遇到双引号则表示程序项名的结束
        jnz G2
G3:
        lodsb
        cmp al,' '      ;程序项名后总有一个空格
        jnz G3
G4:
        lodsb
        cmp al,0        ;无参数，转结束
        jz G7
        cmp al,' '      ;跳过无效字符，可能是空格，也可能是制表符
        jz G4
        cmp al,9
        jz G4
        cmp al,'"'      ;文件名项也是以双引号开始吗？
        jnz G5
        stosb
G4p:
        lodsb
        stosb
        cmp al,'"'      ;遇到双引号则表示文件名项的结束！
        jnz G4p
        jmp G6
G5:
        stosb
        lodsb
        cmp al,0            
        jz G6
        cmp al,' '      ;若文件名项没用双引号，则空格、制表或0表示文件名项的结束
        jz G6
        cmp al,9
        jnz G5
G6:
        xor al,al       ;以Ascii码0作为结束
        stosb
        mov eax,lpString
G7:
        ret
GetFileNameFromCommandLine  endp

;显示打开对话框要求用户选择一个要处理的文件
GetFileNameFromDialog   proc
        mov ofn.lStructSize,sizeof ofn            ;结构的大小
        mov ofn.lpstrFilter,offset FilterString   ;文件过滤器
        mov ofn.lpstrFile,offset FileName         ;文件名的存放位置
        mov ofn.nMaxFile,256                      ;文件名的最大长度
        mov ofn.Flags,OFN_FILEMUSTEXIST or OFN_HIDEREADONLY or OFN_LONGNAMES
        mov ofn.lpstrTitle,offset DialogTitle     ;“打开”对话框的标题
        invoke GetOpenFileName,addr ofn           ;显示打开对话框
        .if eax!=NULL
            lea eax,FileName
        .endif
      ret
GetFileNameFromDialog   endp



;修改内存块的内容，就相当于修改文件的内容
ModifyFile  proc uses ebx esi edi,lpBufferAddress:LPSTR
        mov edi,lpBufferAddress      ;取内存块地址
        call CheckPEValid
        .if eax==NULL
            invoke MessageBox,NULL,addr ErrorPEFormat,addr ErrorTitle,MB_ICONEXCLAMATION
        .else
            ;若是有效的PE，则edi中有PE头的地址
            invoke MessageBox,NULL,addr RightPEFormat,addr MessageTitle,MB_ICONINFORMATION
            call IniData        ;设置.text及.rdata的位置
            call HaveMessageBox
            .if eax!=0
                call AddCode
                .if eax==0
                    invoke MessageBox,NULL,addr CanNotModify,addr ErrorTitle,MB_ICONEXCLAMATION
                .else
                    invoke MessageBox,NULL,addr OkModify,addr MessageTitle,MB_ICONINFORMATION
                .endif
            .else
                invoke MessageBox,NULL,addr ErrorMessage,addr ErrorTitle,MB_ICONEXCLAMATION
            .endif
        .endif          
        ret
ModifyFile  endp

;检查PE文件标记以确定其有效性
;若有效，eax指向PE头
;  否则eax=0
CheckPEValid    proc
    xor eax,eax
    assume edi:ptr IMAGE_DOS_HEADER
    .if [edi].e_magic==IMAGE_DOS_SIGNATURE      ;是否有DOS头标记
        add edi,[edi].e_lfanew
        assume edi:ptr IMAGE_NT_HEADERS
        .if [edi].Signature==IMAGE_NT_SIGNATURE ;是否有PE头标记
            mov eax,edi                         ;eax指向PE头
        .endif
    .endif
    ret
CheckPEValid    endp

;检查程序中是否使用MessageBoxA函数
;返回：没用，eax=NULL
;        用，eax含存放函数入口的单元的地址
HaveMessageBox  proc
    mov esi,prdata                      ;esi指向section table中的 .rdata
    assume esi:ptr IMAGE_SECTION_HEADER
    mov eax,[esi].PointerToRawData      ; .rdata在文件中的绝对偏移位置
    mov ebx,[esi].VirtualAddress        ; .rdata在内存中的VRA
    sub eax,ebx
    add eax,pMapAddr    ;加上文件在内存中的起始位置
    mov ecx,eax
    assume edi:ptr IMAGE_NT_HEADERS
    add eax,[edi].OptionalHeader.DataDirectory.VirtualAddress \
    +sizeof IMAGE_DATA_DIRECTORY

    mov esi,eax     ;esi指向.rdata section
    assume esi:ptr IMAGE_IMPORT_DESCRIPTOR
Have1:
    mov eax,[esi].Name1
    or eax,eax
    jz end2                             ;结束，转！
    add eax,ecx                         ;对应到文件内存块中的地址
    push ecx
    invoke lstrcmp,eax,addr szDll       ;看是否引用USER32.dll库
    pop ecx
    or eax,eax
    jz Have3                            ;有引用，转！
    add esi,sizeof IMAGE_IMPORT_DESCRIPTOR
    jmp Have1                           ;继续测试下一个
Have3:
    call CheckFunction

end2:       ;结束，没有USER32.Dll库
    ret
HaveMessageBox  endp

;esi指向IMAGE_IMPORT_DESCRIPTOR 结构
;若有MessageBoxA函数，则eax含有（存放函数入口的）单元地址
;  否则eax=0
CheckFunction   proc
    assume esi:ptr IMAGE_IMPORT_DESCRIPTOR
    mov edx,[esi].FirstThunk        ;指向（存放函数入口的）单元地址
    mov ebx,[esi].OriginalFirstThunk
    add ebx,ecx                     ;ebx指向内存块中的IMAGE_THUNK_DATA结构
Check1:
    mov eax,[ebx]  
    or eax,eax
    jz Check3
    add eax,ecx                     ;eax指向内存块中的函数字符串
    push ecx
    push edx
    invoke lstrcmp,eax,addr szFunction  ;是MessageBoxA吗？
    pop edx
    pop ecx
    or eax,eax  
    jz Check2
    add ebx,4
    add edx,4
    jmp Check1
Check2:
    mov eax,edx
Check3:
    ret
CheckFunction   endp

;EDI指向 PE Header  
IniData proc
    assume edi:ptr IMAGE_NT_HEADERS
    mov ebx,[edi].OptionalHeader.NumberOfRvaAndSizes
    lea esi,[edi+8*ebx].OptionalHeader.DataDirectory.VirtualAddress
;此时esi指向section table
IniData1:
    mov eax,DWORD ptr [esi]
    cmp eax,7865742eh       ;是 .text吗？
    jnz IniData2
    mov ptext,esi
    jmp IniData3
IniData2:
    cmp eax,6164722eh       ;是 .rdata吗？
    jz IniData4
IniData3:
    add esi,sizeof IMAGE_SECTION_HEADER
    jmp IniData1
IniData4:
    mov prdata,esi
    ret
IniData endp

;将代码加到原程序中！
AddCode proc
    mov esi,ptext
    assume esi:ptr IMAGE_SECTION_HEADER
    call ModifyCode                 ;修改新增的指令部分
    assume edi:ptr IMAGE_NT_HEADERS
    mov eax,[esi].Misc.VirtualSize  ;取原指令的长度
    mov ebx,[esi].PointerToRawData  ;指令在文件中的绝对位置
    add ebx,eax                     ;指向原指令后
    add ebx,pMapAddr                ;内存中的该位置
    add eax,FirstRunLen             ;加上新指令的长度
    cmp eax,[esi].SizeOfRawData ;和调整后的Section长度相比
    ja AddCode1                     ;放不下新加的指令，结束
    push eax
    mov eax,[edi].OptionalHeader.BaseOfCode             ;原代码开始处
    add eax,[esi].Misc.VirtualSize                      ;指向新的入口
    mov [edi].OptionalHeader.AddressOfEntryPoint,eax    ;修改指令入口指向我们的程序
    pop eax
    mov [esi].Misc.VirtualSize,eax  ;设置新的代码段长度
    mov ecx,FirstRunLen             ;新指令的长度
    cld
    mov esi,offset FirstRun         ;指向新怎指令
    mov edi,ebx                     ;设置文件内存块中的目标地址
    rep movsb                       ;将新增指令加到原指令后
    ret
AddCode1:
    xor eax,eax     ;没能修改原程序，返回eax=0
    ret
AddCode endp

;eax含入口地址
ModifyCode  proc
    assume edi:ptr  IMAGE_NT_HEADERS
    add eax,[edi].OptionalHeader.ImageBase          ;调整eax的值    
    mov MustModify1,eax                             ;设置MessageBoxA的入口地址
    mov eax,[edi].OptionalHeader.AddressOfEntryPoint;原程序的入口地址VRA
    mov edx,[edi].OptionalHeader.BaseOfCode         ;计算新加程序后第一个字节的VRA
    add edx,[esi].Misc.VirtualSize
    add edx,FirstRunLen
    sub eax,edx                                     ;段内直接寻址
    mov MustModify2,eax                             ;修改此值以转向原指令处继续执行
    ret
ModifyCode  endp

;这是加到其他程序中要首先执行的部分
FirstRun proc
    push MB_ICONINFORMATION         ;消息框中的图标
    call FirstRun1                  ;消息框的标题
    db '怜香欢迎您',0
FirstRun1:
    call FirstRun2                  ;消息框的文字内容
    db '这是程序被修改后首先显示的信息！',0
FirstRun2:
    push NULL
MustModify1 equ this dword+2        ;要修改此处以使其可正常执行MessageBoxA函数
    call MsgBoxA
MustModify2 equ this dword+1        ;要修改此处以使其可转到原程序去执行
    jmp start
FirstRun    endp

FirstRunLen equ $-FirstRun          ;计算新加代码的长度

      end start
------------------------------------------------------------------------------
后记：
    为编本程序，把MM都给气哭啦，好几天都不理我，说我心理没有她，难呀，男人！