2026-10-16 09:50:40 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

PetoBin把EXE转成bin工具思路

原创

词不达意
词不达意

词不达意安全团队

2026年9月23日 16:51
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

工具免杀思路

在实现工具免杀时，我们常常使用petobin类的程序，如Donut、EXEToShellcode，将自定义的工具程序转换为.bin(raw shellcode类型)，再自实现加载器去运行工具，实现工具免杀

tobin

使用ai实现了一个petobin的程序，方便自己使用，而且无开源的明显特征，接下来分享下实现思路。

普通 EXE 不能直接复制到内存后运行，因为 Windows 平时会替它完成很多准备工作：分配内存、复制节、修正地址、加载 DLL、填写函数地址，最后才跳到程序入口。tobin 生成的 out.bin，就是把这些准备工作一并打包进去。

整体流程

生成的.bin文件结构

out.bin
├─ 64 字节 bootstrap       自定位并找到 loader
├─ 192 字节 descriptor     描述各部分位置、大小和校验值
├─ PE loader               在内存中装载 EXE
├─ 可选默认参数
└─ 原始 EXE 文件

具体流程

输入 EXE
   │
   ▼
检查是不是合法 x64 PE
   │
   ▼
加入 bootstrap + descriptor + loader
   │
   ▼
生成 out.bin
   │
   ▼
普通 RAW loader 从 offset 0 调用
   │
   ▼
bootstrap 找到 PE loader
   │
   ▼
PE loader 在内存中还原并运行 EXE

Builder 拼装器

它把各部分按照 16 字节边界排列，并生成 descriptor。descriptor 记录：

• 整个 RAW 文件大小；
• loader 的位置和大小；
• 参数的位置和大小；
• 原始 EXE 的位置和大小；
• EXE 的 ImageBase；
• SizeOfImage；
• 入口 RVA；
• EXE 使用了哪些 PE 功能；
• 原始 EXE 的 SHA-256；
• descriptor 自身的 CRC32。
这样 loader 不需要猜测“EXE 从哪里开始”，只需要读取 descriptor。

bootstrap 是什么

bootstrap只有 64 字节，可以理解为一个很小的“接力跳板”。
它做的事情是：

1. 通过 RIP 相对寻址找到 out.bin 自身的内存基址。
1. 保存 Windows x64 ABI 要求保护的寄存器。
1. 调整栈对齐并预留 shadow space。
1. 从 descriptor 读取 loader\_offset。
1. 调用真正的 tobin\_loader。
1. loader 返回后恢复寄存器并返回调用者。
  关键技术点是 PIC，也就是位置无关代码。无论 out.bin 被复制到哪个内存地址，它都能找到自己内部的 descriptor 和 loader。

PE loader 做什么

相当于一个简化版 Windows PE 装载器，执行顺序大致为：

1. 验证 descriptor 的 magic、版本和 CRC32。
1. 计算 payload SHA-256，确认 EXE 没被修改。
1. 再次解析内嵌 PE。
1. 从 PEB 找到已经加载的 kernel32.dll。
1. 从导出表解析所需 Windows API。
1. 使用 VirtualAlloc 分配 SizeOfImage 大小的内存。
1. 复制 PE 头和各个 section。
1. 如果实际地址不同，处理 DIR64 重定位。
1. 加载依赖 DLL，填写 IAT。
1. 初始化安全 cookie 和部分 TLS 数据。
1. 根据节属性设置最终内存权限。
1. 刷新指令缓存。
1. 跳转到 EXE 的 OEP，也就是原始入口点。
  它不会直接静态链接 Windows API。相反，它从 PEB 获取 kernel32.dll，再读取 PE 导出表找到 VirtualAlloc、LoadLibraryA 等函数。这也是 loader 能保持位置无关的重要原因。