Mensajes

No pero entonces mira el resultado con DUMPBIN (/headers). Otra cargalo en WinDbg - File>>Open Executable/ Ctrl + E) y antes de nada hace !dh modulo. ¿Es correcto el entry point o no segun esas herramientas?

¿Que se supone que haces con esto al final? ¿Escribir un nuevo ejecutable cifrado en disco?

Las librerias de VC++ son .lib, en este caso necesitas la Vfw32.lib como bien dice en la MSDN.

http://msdn.microsoft.com/en-us/library/windows/desktop/dd756879%28v=vs.85%29.aspx

De nadas 

Compila bien pero falla al enlazar, te falta Winmm.lib, lo podes añdir en la configuracion de un proyecto, pasandole al compilador/enlazador la linea de comandos correspodiente o embebiendolo en el codigo asi (extension de VC++):

Código (c) [Seleccionar] Expandir

#pragma comment(lib, "Winmm.lib")

No se muy bien que estas tratando de hacer, te recomiendo usar el WinDbg (!dh direccion te ayudara) para ir depurando tu codigo.

[12D6C entry point (01012D6C) 1000 base of code]

Si la primera instruccion de codigo en la sección no es el entry point no es lo mismo, es decir siempre que AddressOfEntryPoint sea diferente de BaseOfCode.

DUMPBIN /headers calc.exe

...
OPTIONAL HEADER VALUES
             10B magic # (PE32)
            9.00 linker version
           52E00 size of code
           6A600 size of initialized data
               0 size of uninitialized data
           12D6C entry point (01012D6C)
            1000 base of code
           52000 base of data
         1000000 image base (01000000 to 010BFFFF)
...

     
AddressOfEntryPoint
    A pointer to the entry point function, relative to the image base address. For executable files, this is the starting address.

BaseOfCode
    A pointer to the beginning of the code section, relative to the image base.

¿Estas escribiendo en disco o en memoria?

BMP es un imagen   WAV es un audio.

La solucion de ivancea96 era buena, si te resulta dificil trata de usar mciSendCommand con MCI_RECORD que es mas sencilla pero no mejor.

Ejemplo:
Recording with a Waveform-Audio Device.

http://en.wikipedia.org/wiki/Windows_NT

La version interna sera la 6.4, el 10 es un nombre de marketing, igual que lo fue XP o Vista, o el mismo 7 que es 6.1 en realidad, la ultima vez que coincidio la version con el nombre fue hace casi 20 años, con NT 4.0  

Estoy de acuerdo. Creo que la opcion mas viable seria hookear VirtualProtect y VirtualAlloc y verificar las direcciones en que se esta intentando usar la API.

Saludos!

PD: Agregue VirtualAlloc porque usando esa API con MEM_COMMIT y PAGE_EXECUTE_READWRITE da permisos de ejecucion a una pagina sin allocar nada (tecnica usada en exploits).

Si, aunque mejor interceptar en NTDLL.