来自 金沙澳门官网网址 2019-09-20 05:43 的文章
当前位置: 金沙澳门官网网址 > 金沙澳门官网网址 > 正文

【金沙澳门官网网址】输入表结会谈输入地方表

在 PE文件头的 IMAGE_OPTIONAL_HEADEENCORE 结构中的 DataDirectory(数据目录表) 的第一个分子正是指向输入表的。各样被链接进来的 DLL文件都分别对应一个IMAGE_IMPORT_DESCCRUISERIPTO陆风X8 (简称IID) 数组结构。

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD   Characteristics;            // 0 for terminating null import descriptor
        DWORD   OriginalFirstThunk;         // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
    } DUMMYUNIONNAME;
    DWORD   TimeDateStamp;                  // 0 if not bound,
                                            // -1 if bound, and real datetime stamp
                                            // in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
                                            // O.W. date/time stamp of DLL bound to (Old BIND)

    DWORD   ForwarderChain;                 // -1 if no forwarders
    DWORD   Name;
    DWORD   FirstThunk;                     // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;
typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;

在这一个IID数组中,并未提议有稍许个项(正是未有明显指明有微微个链接文件),但它说起底是以二个全为NULL(0) 的 IID 作为达成的申明。

上面只摘录相当的重大的字段:

OriginalFirstThunk

它指向first thunk,IMAGE_THUNK_DATA,该 thunk 拥有 Hint 和 Function name 的地址。

Name

它象征DLL 名称的周旋虚地址(译注:绝对二个用null作为实现符的ASCII字符串的贰个SportageVA,该字符串是该导入DLL文件的称呼。如:KE奥迪Q5NEL32.DLL)。

FirstThunk

它含有由IMAGE_THUNK_DATA定义的 first thunk数组的虚地址,通过loader用函数虚地址最先化thunk。

在Orignal First Thunk缺席下,它指向first thunk:Hints和The Function names的thunks。

 

上边来解释下OriginalFirstThunk和FirstThunk。就个人精通来讲:

1. 在文件中时,他们都各自指向二个猎豹CS6VA地址。这个地方调换来文件中,分别对应多少个以 IMAGE_THUNK_DATA 为要素的的数组,那四个数组是以二个填写为 0 的IMAGE_THUNK_DATA作为实现标志符。固然她们那五个表位置分歧,但实际内容是大同小异的。此时,各类IMAGE_THUNK_DATA 成分指向的是多个记下了函数名和相呼应的DLL文件名的 IMAGE_IMPORT_BY_NAME结构体。

  1. 缘何会有五个一样的数组呢?是有原因的:

OriginalFirstThunk 指向的数组平时称为  hint-name table,即 HNT ,他在 PE 加载到内部存款和储蓄器中时被保存了下去且永久不会被修改。可是在 Windows 加载过 PE 到内部存款和储蓄器之后,Windows 会重写 FirstThunk 所指向的数组成分中的内容,使得数组中种种 IMAGE_THUNK_DATA 不再代表针对带有函数描述的 IMAGE_THUNK_DATA 成分,而是径直针对了函数地址。此时,FirstThunk 所指向的数组就称为输入地址表(Import Address Table ,即平常说的 IAT)。

重写前:

金沙澳门官网网址 1

重写后:

 金沙澳门官网网址 2

(以上两张图纸来源于:)

typedef struct _IMAGE_THUNK_DATA32 {
    union {
        DWORD ForwarderString;      // PBYTE  指向一个转向者字符串的RVA
        DWORD Function;             // PDWORD 被输入的函数的内存地址
         DWORD Ordinal;              // 被输入的 API 的序数值
         DWORD AddressOfData;        // PIMAGE_IMPORT_BY_NAME   指向 IMAGE_IMPORT_BY_NAME
    } u1;
} IMAGE_THUNK_DATA32;
typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;

根据 _IMAGE_THUNK_DATA32 所指虚构地址转到文件地方能够获取实际的 _IMAGE_IMPORT_BY_NAME 数据

typedef struct _IMAGE_IMPORT_BY_NAME {
    WORD   Hint;     // 序号 

    CHAR   Name[1];  // 实际上是一个可变长的以0为结尾的字符串

} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

 

诸如有层有次:

金沙澳门官网网址 3

文字版:

#include <windows.h>
int WINAPI WinMain(_In_ HINSTANCE hInstance, 
    _In_opt_ HINSTANCE hPrevInstance,
    _In_ LPSTR lpCmdLine,
    _In_ int nShowCmd)
{
    MessageBoxA(0, "hello", "my message", MB_OK);
    SetWindowTextA(0, "Si Wang");

    return 0;
}

此程序采取了三个 Windows API : MessageBoxA 和 SetWindowTextA

编写翻译获得程序(为简化表明,区段位置由软件总括出):

金沙澳门官网网址 4

金沙澳门官网网址 5

大家试着寻找 MessageBoxA。首先深入分析 PE 头文件,找到导出表在文书中的地方:

金沙澳门官网网址 6

输入表地方在 .rdata 区段内, 0x2264 – 0x两千 = 0x0264 获得偏移量。加上文件地方 0x0E00 获得实际文件偏移量(0x0E00 + 0x264 = 0x1064):0x1064。

接下去翻看 0x1064 处:

金沙澳门官网网址 7

能够获取七个 DLL 的叙说,最终二个_IMAGE_IMPORT_DESC奥迪Q5IPTOPRADO以0填充表示甘休:

那正是说只要贰个个翻看各类DLL对应的数据就会找到,然而在此之前作者把具有的数量都看了下,在率先个DLL中

依照第2个DLL描述的 OriginalFirstThunk 的 0x2350 转变能够明白,_IMAGE_THUNK_DATA32 在文件的 0x1150处,FirstThunk 指向的数目一致:

金沙澳门官网网址 8

于是乎就赢得了文件中的 MessageBoxA 的音讯。

末段,在内存中 FirstThunk 所指地点上的_IMAGE_THUNK_DATA32 数组被 Windows 加载后被重写后就成了轶事中的 IAT ,Import Address Table,输入地址表。使用 OllyDbg 查看运转时情形:

金沙澳门官网网址 9

本文由金沙澳门官网网址发布于金沙澳门官网网址,转载请注明出处:【金沙澳门官网网址】输入表结会谈输入地方表

关键词: