当前位置： 首页 > news >正文

为什么学网站开发岳阳建设局网站

news 2025/12/6 19:45:31
为什么学网站开发,岳阳建设局网站,网站主题服务,wordpress教程 2015导入表顾名思义#xff0c;就是记录外部导入函数信息的表。这些信息包括外部导入函数的序号、名称、地址和所属的DLL动态链接库的名称。Windows程序中使用的所有API接口函数都是从系统DLL中调用的。当然也可能是自定义的DLL动态链接库。对于调用方#xff0c;我们称之为导入函…导入表顾名思义就是记录外部导入函数信息的表。这些信息包括外部导入函数的序号、名称、地址和所属的DLL动态链接库的名称。Windows程序中使用的所有API接口函数都是从系统DLL中调用的。当然也可能是自定义的DLL动态链接库。对于调用方我们称之为导入函数而对于DLL动态链接库而言则称之为导出函数。我们将在下一章中再详细讲述导出表。 本节必须掌握的知识点 导入表数据结构 PE中的导入表 IAT函数地址表 手工重构导入表 4.1.1 导入表数据结构 导入表Import Table是PE可执行文件、动态链接库等文件中的一个数据结构用于记录该模块所依赖的外部函数和库。在运行时操作系统根据导入表中的信息来解析和加载这些外部函数和库。导入表数据是一组导入表描述符结构。每组为20个字节。导入表的位置和大小信息保存在数据目录项的第1项从第0项开始。 ■导入表包含以下重要的信息 ●导入描述符表Import Descriptor Table记录每个被导入的模块的信息如模块名称、导入地址表的位置等。 ●导入地址表Import Address Table记录外部函数的地址在加载时会被填充为实际函数的地址。 ●导入名称表Import Name Table记录外部函数的名称。 ■导入表描述符的结构如下 typedef struct _IMAGE_IMPORT_DESCRIPTOR { union { DWORD Characteristics; //特征值对于终止的空导入描述符为0 DWORD OriginalFirstThunk; //指向原始未绑定的导入地址表的RVA //PIMAGE_THUNK_DATA } DUMMYUNIONNAME; DWORD TimeDateStamp; //时间戳如果未绑定则为0。 //绑定时为-1并在IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT中记录实际日期\时间戳新的BIND中否则为绑定到的DLL的日期/时间戳旧的BIND中 DWORD ForwarderChain; //正向链表索引如果没有正向链表则为-1 DWORD Name;         //DLL模块名称的RVA DWORD FirstThunk; //导入地址表IAT的RVA如果已绑定则IAT包含实际地址 } IMAGE_IMPORT_DESCRIPTOR, *PIMAGE_IMPORT_DESCRIPTOR; ●OriginalFirstThunk字段的作用是记录导入函数的信息。对于每个导入模块OriginalFirstThunk字段是一个指针指向一个由IMAGE_THUNK_DATA类型的结构体构成的表。每个IMAGE_THUNK_DATA结构体存储着导入函数的信息包括函数名称或序号。 OriginalFirstThunk指向的表中的每个IMAGE_THUNK_DATA结构体有两种可能的形式 如果导入函数是通过名称进行导入IMAGE_THUNK_DATA结构体中的值是一个指向函数名称的指针。如果导入函数是通过序号进行导入IMAGE_THUNK_DATA结构体中的值是函数的序号。 通过解析OriginalFirstThunk指向的表可以获取导入模块中所有导入函数的名称或序号。这些信息后续可以用于将导入的函数地址与对应的函数名称或序号进行关联。 注意 1OriginalFirstThunk字段在已绑定的PE文件中可能会被覆盖此时可以通过FirstThunk字段来获取已绑定的导入地址表。 2ForwarderChain用于指示导入函数的转发链Forwarder Chain。 在PE文件中导入表描述符用于描述导入函数的相关信息包括导入模块的名称、导入地址表的位置等。而转发链是指导入函数在一个模块中被转发到另一个模块的一种机制。 转发链的作用是将一个导入函数的调用转发到另一个模块中的函数。当一个导入函数被调用时如果它在当前模块中没有找到就会根据转发链找到另一个模块并在那个模块中寻找匹配的函数来处理该调用。 ForwarderChain字段在导入表描述符中记录了转发链的信息它的值表示下一个导入函数描述符在导入表中的索引。如果ForwarderChain字段的值为-1表示没有转发链即没有导入函数被转发到其他模块。 需要注意的是转发链是可选的不是所有的导入函数都会使用转发链。只有在某些特定的情况下如跨模块调用或模块间的函数重定向时才会使用转发链来实现导入函数的转发。 ●下面是winnt.h头文件中IMAGE_THUNK_DATA结构体的定义 #include pshpack8.h                // Use align 8 for the 64-bit IAT. typedef struct _IMAGE_THUNK_DATA64 { union { ULONGLONG ForwarderString;  // PBYTE ULONGLONG Function;         // PDWORD ULONGLONG Ordinal; ULONGLONG AddressOfData;    // PIMAGE_IMPORT_BY_NAME } u1; } IMAGE_THUNK_DATA64; typedef IMAGE_THUNK_DATA64 * PIMAGE_THUNK_DATA64; #include poppack.h               // Back to 4 byte packing typedef struct _IMAGE_THUNK_DATA32 { union { DWORD ForwarderString;      // PBYTE DWORD Function;             // PDWORD DWORD Ordinal; DWORD AddressOfData;        // PIMAGE_IMPORT_BY_NAME } u1; } IMAGE_THUNK_DATA32; typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32; IMAGE_THUNK_DATA结构体的字段含义如下 1ForwarderString如果存在转发导入forwarding import则该字段保存转发字符串的指针否则该字段为0。 2Function导入函数的地址。如果导入函数是通过名称进行导入则该字段保存函数的地址如果导入函数是通过序号进行导入则该字段保存函数的序号。 3Ordinal如果导入函数是通过序号进行导入则该字段保存函数的序号否则该字段为0。 4AddressOfData如果导入函数是通过名称进行导入则该字段保存一个指向IMAGE_IMPORT_BY_NAME结构体的指针该结构体包含函数的名称否则该字段保存一个指向函数的地址的指针。 IMAGE_THUNK_DATA结构体用于描述PE文件中的导入地址表Import Address TableIAT或原始未绑定导入地址表Original Unbound Import Address Table中的每个导入函数的信息。 通过解析IMAGE_THUNK_DATA结构体的字段可以获取导入函数的地址或序号以及函数的名称如果是通过名称进行导入。 注意 1MAGE_THUNK_DATA结构体在64位的PE文件中使用_IMAGE_THUNK_DATA64。 2对于32位的PE文件相应的结构体是_IMAGE_THUNK_DATA32。它们之间的区别在于64位PE文件使用ULONGLONG表示64位指针类型而32位PE文件使用DWORD表示32位指针类型。 ●IMAGE_IMPORT_BY_NAME结构体                         IMAGE_IMPORT_BY_NAME是Windows可执行文件PE文件中的一个结构体用于描述通过名称导入函数的信息。 以下是IMAGE_IMPORT_BY_NAME结构体的定义 typedef struct _IMAGE_IMPORT_BY_NAME { WORD    Hint; BYTE    Name[1]; } IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME; IMAGE_IMPORT_BY_NAME结构体的字段含义如下 1Hint导入函数的提示值Hint是一个16位的无符号整数。它提供了关于导入函数的一些附加信息例如函数的重载情况等。在导入描述符中通过OriginalFirstThunk指向的表中的IMAGE_THUNK_DATA结构体的Ordinal字段存储了函数的序号而Hint字段则提供了与该序号对应的提示值。 2Name导入函数的名称是一个以NULL结尾的字符串。 IMAGE_IMPORT_BY_NAME结构体用于描述PE文件中的导入地址表Import Address TableIAT或原始未绑定导入地址表Original Unbound Import Address Table中通过名称进行导入的函数的信息。 通过解析IMAGE_IMPORT_BY_NAME结构体的字段可以获取导入函数的名称以及与之对应的提示值如果有的话。 4.1.2 PE中的导入表 接下来我们通过具体实例分析PE中的导入表。 实验二十三如何定位导入表 ●我们以32位汇编版HelloWorld.exe为例将其拖入WinHex如下所示 00000000   4D 5A 90 00 03 00 00 00  04 00 00 00 FF FF 00 00   MZ............ 00000010   B8 00 00 00 00 00 00 00  40 00 00 00 00 00 00 00   ?............. 00000020   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................ 00000030   00 00 00 00 00 00 00 00  00 00 00 00 C8 00 00 00   ............?.. 000000C0   00 00 00 00 00 00 00 00  50 45 00 00 4C 01 04 00   ........PE..L... 000000D0   E4 68 03 66 00 00 00 00  00 00 00 00 E0 00 02 01   鋒.f........?.. 000000E0   0B 01 0E 10 00 02 00 00  00 06 00 00 00 00 00 00   ................ 000000F0   00 10 00 00 00 10 00 00  00 20 00 00 00 00 40 00   ......... ..... 00000100   00 10 00 00 00 02 00 00  06 00 00 00 00 00 00 00   ................ 00000110   06 00 00 00 00 00 00 00  00 50 00 00 00 04 00 00   .........P...... 00000120   00 00 00 00 02 00 40 81  00 00 10 00 00 10 00 00   ............... 00000130   00 00 10 00 00 10 00 00  00 00 00 00 10 00 00 00   ................ 00000140   00 00 00 00 00 00 00 00  DC 20 00 00 3C 00 00 00   ........?..... 00000150   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................ 00000160   00 00 00 00 00 00 00 00  00 40 00 00 10 00 00 00   ............... 00000170   10 20 00 00 1C 00 00 00  00 00 00 00 00 00 00 00   . .............. 00000180   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................ 00000190   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................ 000001A0   00 20 00 00 10 00 00 00  00 00 00 00 00 00 00 00   . .............. 000001B0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................ ●导入表数据目录项 DOS头的IMAGE_DOS_HEADER. e_lfanew字段000000C8H指向IMAGE_NT_HEADERS32。 IMAGE_NT_HEADERS32.OptionalHeader.DataDirectory[1*8]指向导入表数据目录项00000148H地址处。 导入表的RVA地址为000020DCH大小为0000003C。 ●定位导入表 000001C0   2E 74 65 78 74 00 00 00  26 00 00 00 00 10 00 00   .text.......... 000001D0   00 02 00 00 00 04 00 00  00 00 00 00 00 00 00 00   ................ 000001E0   00 00 00 00 20 00 00 60  2E 72 64 61 74 61 00 00   .... ...rdata.. 000001F0   5E 01 00 00 00 20 00 00  00 02 00 00 00 06 00 00   ^.... .......... 00000200   00 00 00 00 00 00 00 00  00 00 00 00 40 00 00 40   .............. 00000210   2E 64 61 74 61 00 00 00  1B 00 00 00 00 30 00 00   .data........0.. 00000220   00 02 00 00 00 08 00 00  00 00 00 00 00 00 00 00   ................ 00000230   00 00 00 00 40 00 00 C0  2E 72 65 6C 6F 63 00 00   ......?reloc.. 00000240   10 00 00 00 00 40 00 00  00 02 00 00 00 0A 00 00   ............... 00000250   00 00 00 00 00 00 00 00  00 00 00 00 40 00 00 42   ..............B 将导入表数据目录项的RVA地址转换为FOA文件偏移地址。 RVA地址000020DCH位于.rdata节区00002000H~0000215EH区间。 FOA地址000020DCH-00002000H00000600H000006DCH。 目录项目的第1个结构就是导入表                                              typedef struct _IMAGE_DATA_DIRECTORY {                                               DWORD   VirtualAddress;                                    //RVA 指向导入表结构              DWORD   Size;                                              } IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;                                              将RVA转换成FOA                                         typedef struct _IMAGE_IMPORT_DESCRIPTOR {                                                 union {                                              DWORD   Characteristics;                                                         DWORD   OriginalFirstThunk;                                                    };                                               DWORD   TimeDateStamp;                                                          DWORD   ForwarderChain;                                                           DWORD   Name;                                          DWORD   FirstThunk;                                                                 } IMAGE_IMPORT_DESCRIPTOR;                                           typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;                                                000006D0  1B 00 00 00 2E 64 61 74  61 00 00 00 20 21 00 00   .....data... !.. 000006E0   00 00 00 00 00 00 00 00  36 21 00 00 08 20 00 00   ........6!... .. 000006F0   18 21 00 00 00 00 00 00  00 00 00 00 50 21 00 00   .!..........P!.. 00000700   00 20 00 00 00 00 00 00  00 00 00 00 00 00 00 00   . .............. 00000710   00 00 00 00 00 00 00 00  42 21 00 00 00 00 00 00   ........B!...... 00000720   28 21 00 00 00 00 00 00  B1 01 4D 65 73 73 61 67   (!......?Messag 00000730   65 42 6F 78 41 00 75 73  65 72 33 32 2E 64 6C 6C   eBoxA.user32.dll 00000740   00 00 9B 00 45 78 69 74  50 72 6F 63 65 73 73 00   ..?ExitProcess. 00000750   6B 65 72 6E 65 6C 33 32  2E 64 6C 6C 00 00 00 00   kernel32.dll.... 总结 HelloWorld.exe程序中共有3个导入表描述符结构每个导入表描述符为20个字节分别用于描述user32.dll和kernel32.dll两个动态链接库中的导入函数。此外还有一个为空的导入表描述符作为结束标志。 Windows程序中的导入表描述符是一个双桥结构 1描述符的第一个字段OriginalFirstThunk又被称为桥1是一个32位的RVA地址示例中的值为00002120H指向INT表最高位为0表示按序号导入最高位为1表示按名称导入。 导入表中的INT表IMAGE_THUNK_DATA32. AddressOfData指的是导入函数中的函数指针表中的一个特定部分用于存储导入函数名的RVA地址。通过解析导入描述符中的INT表可以获取导入函数的入口地址从而在程序运行时能够正确地调用这些导入函数。 将OriginalFirstThunk存储的RVA地址转换为FOA地址 INT表的FOA地址00002120H-00002000H600H720H。 在00000720H地址处存储的值为IMAGE_THUNK_DATA32. AddressOfData00002128H同样是一个RVA地址指向导入函数名。 导入函数名的FOV地址00002128H-00002000H600H728H。 在00000728H地址处存储的值就是导入函数名”MessagBoxA”。注意函数名之前的01B1H为与导入函数序号对应的提示值。 2导入表描述符的TimeDateStamp和ForwarderChain字段为空。 3导入表描述符的Name字段00002136H为DLL模块名称的RVA地址。将此RVA地址转换为FOA地址为736H该地址处存储的值就是” user32.dll”。 typedef struct _IMAGE_IMPORT_DESCRIPTOR {       union {    DWORD   Characteristics; DWORD   OriginalFirstThunk;// 00002120H转换后的FOA地址为720H。 };                                                      DWORD   TimeDateStamp; //为空 DWORD   ForwarderChain; //为空 DWORD   Name;    // 00002136H转换后的FOA地址为736H” user32.dll” DWORD   FirstThunk;  } IMAGE_IMPORT_DESCRIPTOR; typedef struct _IMAGE_THUNK_DATA32 { union { DWORD ForwarderString;  // PBYTE DWORD Function;        // PDWORD DWORD Ordinal; DWORD AddressOfData;    //00002128H 转换后的FOA地址为728H。 } u1; } IMAGE_THUNK_DATA32; typedef struct _IMAGE_IMPORT_BY_NAME { WORD    Hint;           //01B1H BYTE    Name[1];       // “MessagBoxA” } IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME; 4最后一个字段FirstThunk指向IAT表。我们将在下一小节中讲解。 DLL名称 遍历OriginalFirstThunk 注意 1导入函数名字符串和DLL模块名字符串均为ASCII码字符串。 2导入函数名字符串和DLL模块名字符串均为’\0’结尾字符串并且以偶数字节对齐。例如函数名”MessagBoxA”字符串结尾处为1个’\0’而” user32.dll”字符串结尾处有两个’\0’。 ●我们再以64位汇编版HelloWorld64.exe为例将其拖入WinHex如下所示 00000180   00 00 00 00 00 00 00 00  64 27 00 00 B4 00 00 00   ........d..?.. 00000190   00 50 00 00 E0 01 00 00  00 40 00 00 68 01 00 00   .P..?.....h... 000001A0   00 00 00 00 00 00 00 00  00 60 00 00 1C 00 00 00   ............... 000001B0   30 22 00 00 70 00 00 00  00 00 00 00 00 00 00 00   0..p........... 000001C0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................ 000001D0   A0 22 00 00 00 01 00 00  00 00 00 00 00 00 00 00   ?.............. 000001E0   00 20 00 00 80 01 00 00  00 00 00 00 00 00 00 00   . ..€........... 000001F0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................ 00000200   2E 74 65 78 74 00 00 00  38 0D 00 00 00 10 00 00   .text...8....... 00000210   00 0E 00 00 00 04 00 00  00 00 00 00 00 00 00 00   ................ 00000220   00 00 00 00 20 00 00 60  2E 72 64 61 74 61 00 00   .... ...rdata.. 00000230   A0 0D 00 00 00 20 00 00  00 0E 00 00 00 12 00 00   ?... .......... 00000240   00 00 00 00 00 00 00 00  00 00 00 00 40 00 00 40   .............. 00000250   2E 64 61 74 61 00 00 00  48 06 00 00 00 30 00 00   .data...H....0.. 00000260   00 02 00 00 00 20 00 00  00 00 00 00 00 00 00 00   ..... .......... 00000270   00 00 00 00 40 00 00 C0  2E 70 64 61 74 61 00 00   ......?pdata.. 00000280   68 01 00 00 00 40 00 00  00 02 00 00 00 22 00 00   h............. 00000290   00 00 00 00 00 00 00 00  00 00 00 00 40 00 00 40   .............. 000002A0   2E 72 73 72 63 00 00 00  E0 01 00 00 00 50 00 00   .rsrc...?...P.. 000002B0   00 02 00 00 00 24 00 00  00 00 00 00 00 00 00 00   .....$.......... 000002C0   00 00 00 00 40 00 00 40  2E 72 65 6C 6F 63 00 00   .......reloc.. 000002D0   1C 00 00 00 00 60 00 00  00 02 00 00 00 26 00 00   .............. 000002E0   00 00 00 00 00 00 00 00  00 00 00 00 40 00 00 42   ..............B 首先我们找到数据目录项的第1项位于地址00000188H处导入表的RVA地址为00002764H大小是000000B4H。 我们遍历节表可知RVA地址00002764H位于.rdata节区。 导入表FOA地址00002764H-00002000H00001200H00001964H。 如下所示 00001960   01 00 00 00 A0 28 00 00  00 00 00 00 00 00 00 00   ....?.......... 00001970   A6 29 00 00 88 20 00 00  B0 28 00 00 00 00 00 00   ?..?..?...... 00001980   00 00 00 00 D4 29 00 00  98 20 00 00 F8 28 00 00   ....?..?..?.. 00001990   00 00 00 00 00 00 00 00  7E 2B 00 00 E0 20 00 00   ........~..?.. 000019A0   E8 28 00 00 00 00 00 00  00 00 00 00 A0 2B 00 00   ?..........?.. 000019B0   D0 20 00 00 80 29 00 00  00 00 00 00 00 00 00 00   ?..€).......... 000019C0   C0 2B 00 00 68 21 00 00  D8 28 00 00 00 00 00 00   ?..h!..?...... 000019D0   00 00 00 00 E0 2B 00 00  C0 20 00 00 C8 28 00 00   ....?..?..?.. 000019E0   00 00 00 00 00 00 00 00  02 2C 00 00 B0 20 00 00   .........,..?.. 000019F0   18 28 00 00 00 00 00 00  00 00 00 00 92 2D 00 00   .(..........?.. 00001A00   00 20 00 00 00 00 00 00  00 00 00 00 00 00 00 00   . .............. 00001A10   00 00 00 00 00 00 00 00  E2 2C 00 00 00 00 00 00   ........?...... 00001A20   7E 2D 00 00 00 00 00 00  6C 2D 00 00 00 00 00 00   ~-......l-...... 00001A30   58 2D 00 00 00 00 00 00  42 2D 00 00 00 00 00 00   X-......B-...... 00001A40   28 2D 00 00 00 00 00 00  12 2D 00 00 00 00 00 00   (-.......-...... 00001A50   FC 2C 00 00 00 00 00 00  22 2C 00 00 00 00 00 00   ?......,...... 00001A60   C6 2C 00 00 00 00 00 00  B2 2C 00 00 00 00 00 00   ?......?...... 00001A70   9E 2C 00 00 00 00 00 00  80 2C 00 00 00 00 00 00   ?......€,...... 00001A80   64 2C 00 00 00 00 00 00  50 2C 00 00 00 00 00 00   d,......P,...... 00001A90   36 2C 00 00 00 00 00 00  00 00 00 00 00 00 00 00   6,.............. 00001AA0   98 29 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ?.............. 00001AB0   CA 29 00 00 00 00 00 00  B2 29 00 00 00 00 00 00   ?......?...... 00001AC0   00 00 00 00 00 00 00 00  0C 2B 00 00 00 00 00 00   ............... 00001AD0   00 00 00 00 00 00 00 00  F6 2A 00 00 00 00 00 00   ........?...... 00001AE0   00 00 00 00 00 00 00 00  08 2A 00 00 00 00 00 00   .........*...... 00001AF0   00 00 00 00 00 00 00 00  B4 2A 00 00 00 00 00 00   ........?...... 00001B00   72 2B 00 00 00 00 00 00  48 2B 00 00 00 00 00 00   r......H...... 00001B10   2C 2B 00 00 00 00 00 00  9E 2A 00 00 00 00 00 00   ,......?...... 00001B20   96 2A 00 00 00 00 00 00  88 2A 00 00 00 00 00 00   ?......?...... 00001B30   7C 2A 00 00 00 00 00 00  58 2A 00 00 00 00 00 00   |*......X*...... 00001B40   36 2A 00 00 00 00 00 00  1C 2A 00 00 00 00 00 00   6*.......*...... 00001B50   64 2B 00 00 00 00 00 00  F8 29 00 00 00 00 00 00   d......?...... 00001B60   E6 29 00 00 00 00 00 00  C8 2A 00 00 00 00 00 00   ?......?...... 00001B70   BE 2A 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ?.............. 00001B80   1C 2B 00 00 00 00 00 00  A6 2A 00 00 00 00 00 00   .......?...... 00001B90   00 00 00 00 00 00 00 00  8A 02 4D 65 73 73 61 67   ........?Messag 00001BA0   65 42 6F 78 57 00 55 53  45 52 33 32 2E 64 6C 6C   eBoxW.USER32.dll 00001BB0   00 00 08 00 5F 5F 43 5F  73 70 65 63 69 66 69 63   ....__C_specific 00001BC0   5F 68 61 6E 64 6C 65 72  00 00 3E 00 6D 65 6D 73   _handler...mems 00001BD0   65 74 00 00 56 43 52 55  4E 54 49 4D 45 31 34 30   et..VCRUNTIME140 00001BE0   2E 64 6C 6C 00 00 40 00  5F 73 65 68 5F 66 69 6C   .dll..._seh_fil 00001BF0   74 65 72 5F 65 78 65 00  42 00 5F 73 65 74 5F 61   ter_exe.B._set_a 00001C00   70 70 5F 74 79 70 65 00  09 00 5F 5F 73 65 74 75   pp_type...__setu 00001C10   73 65 72 6D 61 74 68 65  72 72 00 00 18 00 5F 63   sermatherr...._c 00001C20   6F 6E 66 69 67 75 72 65  5F 6E 61 72 72 6F 77 5F   onfigure_narrow_ 00001C30   61 72 67 76 00 00 33 00  5F 69 6E 69 74 69 61 6C   argv..3._initial 00001C40   69 7A 65 5F 6E 61 72 72  6F 77 5F 65 6E 76 69 72   ize_narrow_envir 00001C50   6F 6E 6D 65 6E 74 00 00  2B 00 5F 67 65 74 5F 6E   onment..._get_n 00001C60   61 72 72 6F 77 5F 77 69  6E 6D 61 69 6E 5F 63 6F   arrow_winmain_co 00001C70   6D 6D 61 6E 64 5F 6C 69  6E 65 00 00 36 00 5F 69   mmand_line..6._i 00001C80   6E 69 74 74 65 72 6D 00  37 00 5F 69 6E 69 74 74   nitterm.7._initt 00001C90   65 72 6D 5F 65 00 55 00  65 78 69 74 00 00 23 00   erm_e.U.exit..#. 00001CA0   5F 65 78 69 74 00 54 00  5F 73 65 74 5F 66 6D 6F   _exit.T._set_fmo 00001CB0   64 65 00 00 16 00 5F 63  65 78 69 74 00 00 15 00   de...._cexit.... 00001CC0   5F 63 5F 65 78 69 74 00  3D 00 5F 72 65 67 69 73   _c_exit.._regis 00001CD0   74 65 72 5F 74 68 72 65  61 64 5F 6C 6F 63 61 6C   ter_thread_local 00001CE0   5F 65 78 65 5F 61 74 65  78 69 74 5F 63 61 6C 6C   _exe_atexit_call 00001CF0   62 61 63 6B 00 00 08 00  5F 63 6F 6E 66 69 67 74   back...._configt 00001D00   68 72 65 61 64 6C 6F 63  61 6C 65 00 16 00 5F 73   hreadlocale..._s 00001D10   65 74 5F 6E 65 77 5F 6D  6F 64 65 00 01 00 5F 5F   et_new_mode...__ 00001D20   70 5F 5F 63 6F 6D 6D 6F  64 65 00 00 34 00 5F 69   p__commode..4._i 00001D30   6E 69 74 69 61 6C 69 7A  65 5F 6F 6E 65 78 69 74   nitialize_onexit 00001D40   5F 74 61 62 6C 65 00 00  3C 00 5F 72 65 67 69 73   _table..._regis 00001D50   74 65 72 5F 6F 6E 65 78  69 74 5F 66 75 6E 63 74   ter_onexit_funct 00001D60   69 6F 6E 00 1E 00 5F 63  72 74 5F 61 74 65 78 69   ion..._crt_atexi 00001D70   74 00 67 00 74 65 72 6D  69 6E 61 74 65 00 61 70   t.g.terminate.ap 00001D80   69 2D 6D 73 2D 77 69 6E  2D 63 72 74 2D 72 75 6E   i-ms-win-crt-run 00001D90   74 69 6D 65 2D 6C 31 2D  31 2D 30 2E 64 6C 6C 00   time-l1-1-0.dll. 00001DA0   61 70 69 2D 6D 73 2D 77  69 6E 2D 63 72 74 2D 6D   api-ms-win-crt-m 00001DB0   61 74 68 2D 6C 31 2D 31  2D 30 2E 64 6C 6C 00 00   ath-l1-1-0.dll.. 00001DC0   61 70 69 2D 6D 73 2D 77  69 6E 2D 63 72 74 2D 73   api-ms-win-crt-s 00001DD0   74 64 69 6F 2D 6C 31 2D  31 2D 30 2E 64 6C 6C 00   tdio-l1-1-0.dll. 00001DE0   61 70 69 2D 6D 73 2D 77  69 6E 2D 63 72 74 2D 6C   api-ms-win-crt-l 00001DF0   6F 63 61 6C 65 2D 6C 31  2D 31 2D 30 2E 64 6C 6C   ocale-l1-1-0.dll 00001E00   00 00 61 70 69 2D 6D 73  2D 77 69 6E 2D 63 72 74   ..api-ms-win-crt 00001E10   2D 68 65 61 70 2D 6C 31  2D 31 2D 30 2E 64 6C 6C   -heap-l1-1-0.dll 00001E20   00 00 D3 04 52 74 6C 43  61 70 74 75 72 65 43 6F   ..?RtlCaptureCo 00001E30   6E 74 65 78 74 00 DA 04  52 74 6C 4C 6F 6F 6B 75   ntext.?RtlLooku 00001E40   70 46 75 6E 63 74 69 6F  6E 45 6E 74 72 79 00 00   pFunctionEntry.. 00001E50   E1 04 52 74 6C 56 69 72  74 75 61 6C 55 6E 77 69   ?RtlVirtualUnwi 00001E60   6E 64 00 00 BC 05 55 6E  68 61 6E 64 6C 65 64 45   nd..?UnhandledE 00001E70   78 63 65 70 74 69 6F 6E  46 69 6C 74 65 72 00 00   xceptionFilter.. 00001E80   7B 05 53 65 74 55 6E 68  61 6E 64 6C 65 64 45 78   {.SetUnhandledEx 00001E90   63 65 70 74 69 6F 6E 46  69 6C 74 65 72 00 1D 02   ceptionFilter... 00001EA0   47 65 74 43 75 72 72 65  6E 74 50 72 6F 63 65 73   GetCurrentProces 00001EB0   73 00 9A 05 54 65 72 6D  69 6E 61 74 65 50 72 6F   s.?TerminatePro 00001EC0   63 65 73 73 00 00 89 03  49 73 50 72 6F 63 65 73   cess..?IsProces 00001ED0   73 6F 72 46 65 61 74 75  72 65 50 72 65 73 65 6E   sorFeaturePresen 00001EE0   74 00 50 04 51 75 65 72  79 50 65 72 66 6F 72 6D   t.P.QueryPerform 00001EF0   61 6E 63 65 43 6F 75 6E  74 65 72 00 1E 02 47 65   anceCounter...Ge 00001F00   74 43 75 72 72 65 6E 74  50 72 6F 63 65 73 73 49   tCurrentProcessI 00001F10   64 00 22 02 47 65 74 43  75 72 72 65 6E 74 54 68   d..GetCurrentTh 00001F20   72 65 61 64 49 64 00 00  F0 02 47 65 74 53 79 73   readId..?GetSys 00001F30   74 65 6D 54 69 6D 65 41  73 46 69 6C 65 54 69 6D   temTimeAsFileTim 00001F40   65 00 6C 03 49 6E 69 74  69 61 6C 69 7A 65 53 4C   e.l.InitializeSL 00001F50   69 73 74 48 65 61 64 00  82 03 49 73 44 65 62 75   istHead.?IsDebu 00001F60   67 67 65 72 50 72 65 73  65 6E 74 00 D7 02 47 65   ggerPresent.?Ge 00001F70   74 53 74 61 72 74 75 70  49 6E 66 6F 57 00 7E 02   tStartupInfoW.~. 00001F80   47 65 74 4D 6F 64 75 6C  65 48 61 6E 64 6C 65 57   GetModuleHandleW 00001F90   00 00 4B 45 52 4E 45 4C  33 32 2E 64 6C 6C 00 00   ..KERNEL32.dll.. notepad64.exe导入表描述符 typedef struct _IMAGE_IMPORT_DESCRIPTOR {                                                 union {                                              DWORD   Characteristics;                                                         DWORD   OriginalFirstThunk; 000028A0H转换后的FOA地址为1AA0H。 };                                               DWORD   TimeDateStamp; //为空。 DWORD   ForwarderChain; //为空。 DWORD   Name; //000029A6H转换后的FOA地址为1BA6H” USER32.dll”。 DWORD   FirstThunk; //00002088H转换后的FOA地址为1288H。 } IMAGE_IMPORT_DESCRIPTOR; typedef struct _IMAGE_THUNK_DATA64 { union { ULONGLONG ForwarderString;  // PBYTE ULONGLONG Function;        // PDWORD ULONGLONG Ordinal; ULONGLONG AddressOfData;   //0000000000002998H转换后的FOA地址为1B98H。 } u1; } IMAGE_THUNK_DATA64; typedef struct _IMAGE_IMPORT_BY_NAME { WORD    Hint;           //028AH BYTE    Name[1];       // “MessagBoxW” } IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME; 练习 1继续完成实验二十三剩下导入表描述符的分析。     实验二十四遍历导入表。 我们以32位和64位记事本程序为例 /*------------------------------------------------------------------------ FileName:PrintImportDescriptor.c 实验24遍历导入表(支持32位和64位PE) (c) bcdaren, 2024 -----------------------------------------------------------------------*/ #include stdio.h #include windows.h #include winnt.h #define WIN64 PBYTE creatfilemap(LPCWSTR szFile); VOID import32(PBYTE lpvResult); VOID import64(PBYTE lpvResult); DWORD RvaToFoa(PIMAGE_NT_HEADERS ntHeaders, DWORD rva); int main(int argc, char* argv[]) { LPCWSTR szFileName TEXT(c:\\notepad64.exe); PBYTE lpAddress NULL; //PE文件内存映射文件地址 lpAddress creatfilemap(szFileName); if (lpAddress) { printf(%ls\n, szFileName); #ifdef WIN64 import64(lpAddress); #else import32(lpAddress); #endif } system(pause); return 0; } //创建PE文件映射对象 PBYTE creatfilemap(LPCWSTR szFile) { HANDLE hFile; HANDLE hMapFile NULL; PBYTE lpMemory NULL;  //PE文件内存映射文件地址 char buffer[16] { 0 }; DWORD dwFileSize; DWORD dwBytesRead 0; PIMAGE_DOS_HEADER lpstDOS NULL; PIMAGE_NT_HEADERS lpstNT NULL; hFile CreateFile(szFile, GENERIC_READ,          // 只读打开 FILE_SHARE_READ,       // 允许其他进程以读取方式打开文件 NULL,                  // 默认安全属性 OPEN_EXISTING,         // 打开已存在的文件 FILE_ATTRIBUTE_NORMAL, // 普通文件 NULL); if (hFile INVALID_HANDLE_VALUE) printf(打开文件失败\n); else { dwFileSize GetFileSize(hFile, 0);//获得文件大小可通过结构体获取 //创建内存映射文件 if (dwFileSize) { if (hMapFile CreateFileMapping(hFile, NULL, PAGE_READONLY, 0, 0, NULL)) { //获得文件在内存的映象起始位置 lpMemory MapViewOfFile(hMapFile, FILE_MAP_READ, 0, 0, 0); if (!lpMemory) printf(获取映像起始地址失败\n); //检查PE文件是否有效 lpstDOS (PIMAGE_DOS_HEADER)lpMemory; if (lpstDOS-e_magic ! IMAGE_DOS_SIGNATURE) printf(非PE格式文件\n); lpstNT (PIMAGE_NT_HEADERS)(lpMemory lpstDOS-e_lfanew); if (lpstNT-Signature ! IMAGE_NT_SIGNATURE) printf(非PE格式文件\n); } } } return lpMemory; } //32位PE文件 VOID import32(PBYTE lpvResult) { PIMAGE_DOS_HEADER pImageDOSHeader (PIMAGE_DOS_HEADER)lpvResult; PIMAGE_NT_HEADERS32 psImageNTHeader (PIMAGE_NT_HEADERS32)(lpvResult pImageDOSHeader-e_lfanew); //导入表RVA DWORD ImportRVA psImageNTHeader-OptionalHeader.DataDirectory[1].VirtualAddress; DWORD dwTemp 0; //获取导入表FOA地址 PIMAGE_IMPORT_DESCRIPTOR pImageImportDescriptor (PIMAGE_IMPORT_DESCRIPTOR)RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, ImportRVA); dwTemp (DWORD)pImageDOSHeader (DWORD)pImageImportDescriptor; pImageImportDescriptor (PIMAGE_IMPORT_DESCRIPTOR)dwTemp; //遍历导入表描述符 for (DWORD i 0; *(DWORD*)(pImageImportDescriptor i) ! 0; i) { //打印模块名 DWORD NameRVA (pImageImportDescriptor i)-Name; DWORD NameFOA RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, NameRVA) (DWORD)pImageDOSHeader; printf(%s:\n, (PBYTE)NameFOA); //获取桥1 RVA地址 DWORD OriginalFirstThunkRVA (pImageImportDescriptor i)-OriginalFirstThunk; DWORD TimeDate (pImageImportDescriptor i)-TimeDateStamp; if (TimeDate -1) { printf(已绑定导入函数。\n); } //IMAGE_ORDINAL_FLAG32用于表示32位的PE文件中导入函数的序号Ordinal if (OriginalFirstThunkRVA IMAGE_ORDINAL_FLAG32) { printf(OriginalFirstThunk最高位为1按序号导入函数。\n); } else { //转换为FOA地址 PIMAGE_THUNK_DATA32 pImageFirstThunkData (PIMAGE_THUNK_DATA32)RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, OriginalFirstThunkRVA); dwTemp (DWORD)pImageDOSHeader (DWORD)pImageFirstThunkData; pImageFirstThunkData (PIMAGE_THUNK_DATA32)dwTemp; for (DWORD j 0; *((DWORD*)pImageFirstThunkData j) ! 0; j) { //INT表 DWORD AddressOfDataRVA (pImageFirstThunkData j)-u1.AddressOfData; PIMAGE_IMPORT_BY_NAME pImageImportByName (PIMAGE_IMPORT_BY_NAME)RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, AddressOfDataRVA); dwTemp (DWORD)pImageDOSHeader (DWORD)pImageImportByName; pImageImportByName (PIMAGE_IMPORT_BY_NAME)dwTemp; //输出函数名 printf(0x%04X : %s\n, pImageImportByName-Hint, pImageImportByName-Name); } printf(\n); } } } //64位PE文件 VOID import64(PBYTE lpvResult) { PIMAGE_DOS_HEADER pImageDOSHeader (PIMAGE_DOS_HEADER)lpvResult; PIMAGE_NT_HEADERS64 psImageNTHeader (PIMAGE_NT_HEADERS64)(lpvResult pImageDOSHeader-e_lfanew); //导入表RVA DWORD ImportRVA psImageNTHeader-OptionalHeader.DataDirectory[1].VirtualAddress; ULONGLONG dwTemp 0; //获取导入表FOA地址 PIMAGE_IMPORT_DESCRIPTOR pImageImportDescriptor (PIMAGE_IMPORT_DESCRIPTOR)RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, ImportRVA); dwTemp (ULONGLONG)pImageDOSHeader (ULONGLONG)pImageImportDescriptor; pImageImportDescriptor (PIMAGE_IMPORT_DESCRIPTOR)dwTemp; //遍历导入表描述符 for (DWORD i 0; *(DWORD*)(pImageImportDescriptor i) ! 0; i) { //打印模块名 DWORD NameRVA (pImageImportDescriptor i)-Name; ULONGLONG NameFOA RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, NameRVA) (ULONGLONG)pImageDOSHeader; printf(%s:\n, (PBYTE)NameFOA); //获取桥1 RVA地址 DWORD OriginalFirstThunkRVA (pImageImportDescriptor i)-OriginalFirstThunk; DWORD TimeDate (pImageImportDescriptor i)-TimeDateStamp; if (TimeDate -1) { printf(已绑定导入函数。\n); } //IMAGE_ORDINAL_FLAG64用于表示64位的PE文件中导入函数的序号Ordinal if (OriginalFirstThunkRVA IMAGE_ORDINAL_FLAG64) { printf(OriginalFirstThunk最高位为1按序号导入函数。\n); } else { //转换为FOA地址 PIMAGE_THUNK_DATA64 pImageFirstThunkData (PIMAGE_THUNK_DATA64)RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, OriginalFirstThunkRVA); dwTemp (ULONGLONG)pImageDOSHeader (ULONGLONG)pImageFirstThunkData; pImageFirstThunkData (PIMAGE_THUNK_DATA64)dwTemp; for (ULONGLONG j 0; *((ULONGLONG*)pImageFirstThunkData j) ! 0; j) { //INT表 ULONGLONG AddressOfDataRVA (pImageFirstThunkData j)-u1.AddressOfData; PIMAGE_IMPORT_BY_NAME pImageImportByName (PIMAGE_IMPORT_BY_NAME)RvaToFoa((PIMAGE_NT_HEADERS)psImageNTHeader, (DWORD)AddressOfDataRVA); dwTemp (ULONGLONG)pImageDOSHeader (ULONGLONG)pImageImportByName; pImageImportByName (PIMAGE_IMPORT_BY_NAME)dwTemp; //输出函数名 printf(0x%04X : %s\n, pImageImportByName-Hint, pImageImportByName-Name); } printf(\n); } } } //RVA转FOA DWORD RvaToFoa(PIMAGE_NT_HEADERS ntHeaders, DWORD rva) { //ntHeaders4sizeof(IMAGE_FILE_HEADER)FileHeader.SizeOfOptionalHeader32或64位PE PIMAGE_SECTION_HEADER sectionHeader IMAGE_FIRST_SECTION(ntHeaders); WORD numberOfSections ntHeaders-FileHeader.NumberOfSections; for (WORD i 0; i numberOfSections; i) { DWORD sectionStartRva sectionHeader-VirtualAddress; DWORD sectionEndRva sectionStartRva sectionHeader-SizeOfRawData; if (rva sectionStartRva rva sectionEndRva) { DWORD foa sectionHeader-PointerToRawData (rva – sectionStartRva); return foa; } sectionHeader; } return 0;  // RVA not found } 总结 1遍历导入表的过程 首先稍等数据目录项的第1项即导入表项获取导入表RVA地址将其转换为FOA地址。 然后根据导入表FOA地址在PE文件中找到导入表描述符的起始地址循环遍历获取导入表描述符的OriginalFirstThunk字段中保存的RVA地址将此RVA地址转换为FOA地址即INT表IMAGE_THUNK_DATA的起始地址。 最后循环遍历获取INT表内的AddressOfData指向的IMAGE_IMPORT_BY_NAME结构体的RVA地址将其转换为FOA地址该地址存储导入函数序号提示值和函数名字符串。 遍历过程如图4-1所示。 图4-1 遍历导入表 2在遍历导入表时32位和64位PE文件的差异在于下面两个结构的不同 typedef struct _IMAGE_NT_HEADERS64 { DWORD Signature;                                                //PE文件的签名PE特征码 IMAGE_FILE_HEADER FileHeader;                     //文件头 IMAGE_OPTIONAL_HEADER64 OptionalHeader;   //64位PE文件扩展头 } IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64; typedef struct _IMAGE_NT_HEADERS { DWORD Signature;  //PE文件的签名PE特征码 IMAGE_FILE_HEADER FileHeader;  //文件头 IMAGE_OPTIONAL_HEADER32 OptionalHeader; //32位PE文件扩展头 } IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32; typedef struct _IMAGE_THUNK_DATA64 { union { ULONGLONG ForwarderString;  // PBYTE ULONGLONG Function;   // PDWORD ULONGLONG Ordinal; ULONGLONG AddressOfData;    // PIMAGE_IMPORT_BY_NAME } u1; } IMAGE_THUNK_DATA64; typedef IMAGE_THUNK_DATA64 * PIMAGE_THUNK_DATA64; typedef struct _IMAGE_THUNK_DATA32 { union { DWORD ForwarderString;      // PBYTE DWORD Function;   // PDWORD DWORD Ordinal; DWORD AddressOfData;        // PIMAGE_IMPORT_BY_NAME } u1; } IMAGE_THUNK_DATA32; typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32; 3OriginalFirstThunk为导入表描述符IMAGE_IMPORT_DESCRIPTOR结构的桥1字段最高位为0表示按序号导入最高位为1表示按名称导入。32位PE中取掩码IMAGE_ORDINAL_FLAG3264位PE文件取掩码IMAGE_ORDINAL_FLAG64。 4导入表描述符的TimeDateStamp字段的值如果为0xFFFFFFFF表示导入函数已绑定我们将在4.2节绑定导入表中详细讲解。 5导入表描述符以一个空导入表描述符作为结束标志。 6INT表中不同DLL模块中的导入函数名以一个空的AddressOfData字段作为分隔符。 7读者也可以尝试参考实验19中 ReadPe1.c中使用的方法按照内存映像文件的方法实现这样可以省略RVA转换为FOA地址的过程。
http://www.dnsts.com.cn/news/56786.html

相关文章：

  • 自己制作网站该怎么做用qq号码可以做网站吗
  • 怎样删除网站wordpress授权破解
  • 网站音乐播放器代码影视网站建设多少钱
  • 用万网建设网站教程视频中铁建设中南分公司
  • 企业解决方案参考网站郑州网站设计汉狮
  • 网站开发代码规范东营新闻联播在线直播
  • 手机网站 分辨率开源 网站源代码
  • 淘宝关键词排名查询网站网站项目报价单模板免费下载
  • 宾馆网站制作随州哪里学做网站
  • 重庆店铺整站优化镇江网站制作费用
  • 南昌专业的企业网站建设公司一二三四免费观看高清视频
  • 建筑网站绿地新里城piwigo wordpress
  • asp.net网站开发详解网站建设是什么专业啊
  • 网站开发与维护 专业北京网站建设外包公司
  • 什么网站做谷歌联盟好平台网站建设的公司
  • 网站建设前期调研公司汇报宽带动态ip如何做网站访问
  • 创建学校网站做微信公众号的是哪个网站吗
  • 设计业务网站网站建设管理汇报
  • 做办公室的网站phpcms网站系统 技术方案 系统框架图
  • 汉阴县住房和城乡建设局网站电子商务网站建设的意义是什么意思
  • 韩国吃秀在哪个网站做直播什么事网站开发
  • 网站建设制作服务品牌网站建设小蝌蚪
  • 昆明微网站制作网站建设教程下载
  • 福清市建设局网站wordpress 访问无样式
  • j2ee做的网站装饰设计公司wordpress企业主题
  • 北京网站开发费用做网站最专业的公司
  • 正在备案怎么建网站做a图片视频在线观看网站
  • 白山做网站googleseo是什么
  • 国外网站设计欣赏分析惠州seo关键词排名
  • 上海 .net网站建设怎么进网站源码的后台