Книга "Главы книги о взломе", Касперский Крис

Краткое описание/вступление:

обходимо  отдавать  себе  отчет  в  зыбкости  таких
рассуждений.  Никто  не  гарантирует,  что в будущем MicroSoft не перепишет
загрузчик,  который  будет делать такие проверки или не появится прикладных
программ   (в   частоности   антивирусов)   которые  не  контролировали  бы
корректность заголовка.
    С  другой  стороны, работа хакера почти всегда базируется на отклонении
от  документации и рекомендаций сопутствующих к ней руководств. В противном
же   случае   ничего   не   остается,   как   сидеть   бездействовать   или
перекомпилировать  полученный ассемблером и исравленный текст в исполняемый
файл, что сопряжено с многочисленными проблеммами и трудозатратами.
    Скопируем  IMAGE_IMPORT_DESCRIPOR в любое свободное место секции данных
и  изменим  на нее ссылку в Import Directory. Теперь нам необходимо создать
новую запись в ней. Начнем с четвертого двойного слова, указывающего на имя
функции.  Можно  состлаться на уже существующую строку 'MFC42.DLL', а можно
созадть   свою   и   указать  на  нее.  Последнее нам дает больше свободы и
независимости. Поэтому поступим именно так:

.004041D0:  4D 46 43 34-32 2E 44 4C-4C 00 00 00-00 00 00 00  MFC42.DLL

Хорошо,  имя  экспортируемого  модуля  мы  уже  записали. Теперь необходимо
создать  массив   IMAGE_THUNK_DATA,  точнее, "массив" громко сказано, всего
лишь одну запись.

.004041E0:  59 13 00 80-00 00 00 00-00 00 00 00-00 00 00 00  Y. А

Понятно,   что  0x1359  это  и  есть ипортируемая функция OnSaveDocument, а
старший  бит  0x8000  указывает,  что  последняя  ипортируется по ординулу.
Остается  создать  таблицу  адресов,  точнее  таблицу создавать нет никакой
необходимости.  Не  смотря  на  то,  что каждый ее элемент по теории должен
ссылаться  на  соотвествующую фукцию, оптимизация загрузчка привела к тому,
что  он  никак  не  использует начальные значения таблицы адресов, а вносит
записи   в   том   порядке,  в  котором  они  перечислены  в  таблице  имен
(IMAGE_THUNK_DATA).  Поэт