PE导入表起步实操

maikehong

USER32.dll:
                173a8= 74 78 01 00 AC 78 01 00        
                是00开头的
       
       
MFC42D.DLL:
                170ac= 76 0E 00 80 .... .... .... ....
                是80开头的

MSVCRTD.dll:
                 17328=是00开头的

KERNEL32.dll:
         17078=是00开头的

MFCO42D.DLL:
                172f8= 是00开头的



1 data_DLL目录表:       

        IMAGE_DATA_DIRECTORY{
                        0x00 DWORD VirtualAddress-->地址中包含各种DLL 每个dll占20个字节 最后以20个字节0结尾
                        0x04 DWORD Size
        }

                                                                                                           A8 73 01 00       
                                0 00 00 00 00 00 00 00 00  88 78 01 00 08 77 01 00

2 DLL结构:

                IMAGE_IMPORT_DESCRIPTOR STRUCT{                         20个字节
                        union{
                                Characteristics;                             DWORD 1
                                OriginalFirstThunk;                &&                DWORD  //RVA指向 IMAGE_THUNK_DATA 结构数组  【用这个】
                        };
                        TimeDateStamp;                                      DWORD 2 //时间戳
                        ForwarderChain;                              DWORD 3
                        Name;                           &&      DWORD 4 //RVA指向依赖的dll名字,该名字以0结尾
                        FirstThunk;                     &&      DWORD 5 //RVA指向 IMAGE_THUNK_DATA 结构数组

                }IMAGE_IMPORT_DESCRIPTOR;

                173a8                OriginalFirstThunk;                &&                DWORD  //RVA指向 IMAGE_THUNK_DATA 结构数组  【用这个】
                17888                 DWORD 4         RVA指向依赖的dll名字,该名字以0结尾
                17708                 DWORD 5         RVA指向 IMAGE_THUNK_DATA 结构数组               



3  OriginalFirstThunk --->指向 INT表(这个表中存放[最高位不是0的话]是函数地址看得到ASCII码):

                        74 78 01 00 AC 78 01 00

                INT表_ 导入名称表
                IMAGE_THUNK_DATA                        4个字节
                IMAGE_THUNK_DATA                        4个字节
                00 01 78 74h                                4个字节
                00 01 78 AC                                        4个字节
                ......
                (以四个字节00结束)                                                                                       

                表里面每个成员的结构如下:
                INT表_每个成员结构: 4个字节
               
                        typedef struct_IMAGE_THUNK_DATA32 {
                                unon{
                                                PBYTE ForwarderString;
                                                PDWORD Function;               
                                                DWORD Ordinal;                        //序号
                                                PIMAGE_IMPORT_BY_NAME AddressOfData; //指向IMAGE_IMPORT_BY_NAME
                                         }u1;
                                }IMAGE_THUNK_DATA32;

        实操如下:
       
                17874         =         GetSystemMetrics
                178AC        =        MessageBoxA


                        Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F               

                        00017870                     47 65  74 53 79 73 74 65 6D 4D         GetSystemM
                        00017880   65 74 72 69 63 73 00                               etrics

                        000178A0                                        BE 01 4D 65               ?Me
                        000178B0   73 73 61 67 65 42 6F 78  41 00 00 00 00 00 00 00   ssageBoxA      
                                                                                                                                       

4 FirstThunk-->一样(user.dll一样其他没查过)


=============================  我亲爱的甲鱼大神笔记之乾坤大挪移 =========================================


我们得到 IMAGE_THUNK_DATA 结构的定义如下：

IMAGE_THUNK_DATA STRUC
        union u1
                ForwarderString       DWORD  ?                ; 指向一个转向者字符串的RVA
                Function                      DWORD  ?               ; 被输入的函数的内存地址
                Ordinal                       DWORD  ?               ; 被输入的API 的序数值
                AddressOfData         DWORD  ?                ; 指向 IMAGE_IMPORT_BY_NAME
        ends
IMAGE_THUNK_DATA ENDS

我们可以看出由于是union结构，所以IMAGE_THUNK_DATA 事实上是一个双字大小。
该结构在不同时候赋予不同的意义（伟大神奇不得鸟……）。其实union这种数据结构很容易理解：
说白了就是当时穷，能省就省，再说白了，就是几兄弟姐妹轮流穿一条裤子去相亲！理解了吧？哈哈


那我们怎么来区分何时是何意义呢？
规定如下：
        当 IMAGE_THUNK_DATA 值的最高位为 1时，表示函数以序号方式输入，这时候低 31位被看作一个函数序号。
        当 IMAGE_THUNK_DATA 值的最高位为 0时，表示函数以字符串类型的函数名方式输入，这时双字的值是一个 RVA，
                                指向一个 IMAGE_IMPORT_BY_NAME 结构


IMAGE_IMPORT_BY_NAME 结构
        仅仅只有一个字型数据的大小，存有一个输入函数的相关信息结构。其结构如下：
        IMAGE_IMPORT_BY_NAME STRUCT
                Hint        WORD    ?                 Hint 字段也表示函数的序号，不过这个字段是可选的，有些编译器总是将它设置为 0
                Name      BYTE      ?                定义了导入函数的名称字符串，这是一个以 0 为结尾的字符串
        IMAGE_IMPORT_BY_NAME ENDS



输入地址表（IAT）

        为什么由两个并行的指针数组同时指向 IMAGE_IMPORT_BY_NAME 结构呢？

                第一个数组（由 OriginalFirstThunk 所指向）是单独的一项，而且不能被改写，我们前边称为 INT。
                第二个数组（由 FirstThunk 所指向）事实上是由 PE 装载器重写的


好了，那么 PE 装载器的核心操作时如何的呢？这里就给大家揭秘啦~

        PE 装载器首先搜索 OriginalFirstThunk ，找到之后加载程序迭代搜索数组中的每个指针，
        找到每个 IMAGE_IMPORT_BY_NAME 结构所指向的输入函数的地址，
        然后加载器用函数真正入口地址来替代由 FirstThunk 数组中的一个入口，因此我们称为输入地址表（IAT）。

        所以，当我们的 PE 文件装载内存后准备执行时，刚刚的图就会转化为下图
        通过加载器之后 IAT里面的 IMAGE_THUNK_DATA 就成了 IAT里面 函数n的真正地址了 被覆盖了
        也就是说 IAT 在加载器之前是个变量

涛4091