PE结构&延迟加载导入表

最新推荐文章于 2023-07-14 08:00:00 发布
最新推荐文章于 2023-07-14 08:00:00 发布
阅读量3.7k 收藏 2
点赞数 4
分类专栏： ctf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/CSNN2019/article/details/113644955
版权

PE体系

PE结构&整体叙述

PE结构&导入表

PE结构&导出表

PE结构&基址重定位表

PE结构&绑定导入实现

PE结构&延迟加载导入表

简介

延迟加载导入表是PE中引入的专门用来描述与动态链接库延迟加载相关的数据，因为这些数据所起的作用和导入表数据基本一致，所以称为延迟加载导入表。

延迟加载导入表和导入表是相互分离的，一个PE文件中可以同时存在这两种数据，也可以单独存在一种。延迟加载导入表是一种特殊类型的导入表，同导入表一样，它记录了应用程序要导入的部分或全部动态链接库及相关的函数信息。与导入表不同的是，它所记录的这些动态链接库并不会被操作系统的PE加载器加载，只有等到由其登记的相关函数被应用程序调用时，PE中注册的延迟加载函数才会根据延迟加载导入表中对该函数的描述，动态加载链接库并修正函数的VA地址，实现对函数的调用。

延迟加载导入表的概念及作用

延迟加载导入是一种合理利用进程加载机制提高进程加载效率的技术，使用延迟加载导入表能跳过加载前对引入函数的检测及加载后对IAT的修正（只有等到由其登记的相关函数被应用程序调用时，PE中注册的延迟加载函数才会根据延迟加载导入表中对该函数的描述，动态加载链接库并修正函数的VA地址）。

延迟加载导入的概念：系统开始运行程序时指定的延迟加载的DLL是不被载入的，只有等到程序调用了该动态链接库的函数时，系统才将该链接库载入内存空间，并执行相关函数代码。

作用：

  1. 提高应用程序加载速度
  2. 提高应用程序兼容性
  3. 提高应用程序可整合性

提高应用程序加载速度

如果一个应用程序使用了很多的DLL，PE加载器在将程序映像加载的虚拟地址空间的时候，同时也会把所有的DLL一起提前加载到进程空间，而且在加载每个DLL时还会调用DLL 的入口函数，对DLL进行初始化，尽管这时候程序并没有开始调用这些引入的动态链接库的函数。这些操作的存在使得进程加载时会耗费一些时间，可能会使程序加载速度收到影响，而延迟加载则可以完全避开这点。这就好像安排一项多人要完成的工作，只有当需要某人的时候才正式通知他

提高应用程序兼容性

同一个DLL在不同时期会有不同的版本，一般情况下，新的DLL除了对原有函数的继承和优化外，通常还会增加一些新的函数。如果我们再应用程序中调用了一个DLL的新函数，运行时所在环境提供的却是老的DLL，那么加载时系统就会提示错误，然后拒绝指向应用程序。如果我们再代码中先对运行的环境进行检测，发现存在老的DLL，则不再调用这个不存在的函数，要么友好提示，要么通过其它方式实现该函数的功能。这样就可以保证在没有新DLL的环境中，程序依旧可以被PE加载器加载并运行。

假设现在有DLL的两个不同版本，旧的MyDLL.dll和新的MyDll.dll，其中在新的MyDll.dll中又增加了一个函数_getImportDescriptor()

应用程序代码如下：
在这里插入图片描述
把这段代码按照正常的编码方式放到一个源文件，然后编译，链接，链接的时候一定会出现错误。即使让你链接通过了，运行时也会出现错误。如果我们再链接时告诉链接器新的MyDll.dll使用了加载延迟加载导入的方法，链接器就会为我们单独处理这个函数的调用，从而避免错误的出现。这种提高应用程序适应不同环境的能力。

提高应用程序可整合性

受早期MS_DOS下应用程序的习惯影响，有的程序员并不太喜欢目前Windows下应用程序的安装方式。在Windows系统下，程序运行需要安装，不需要的时候还要通过控制面板卸载，与程序有关的 数据并不是仅仅存储在一个独立的目录下，而是遍及整个磁盘，如运行是库所在目录，注册表，系统目录，系统的配置管理器目录等。这把一个完整的程序变得四分五裂，在程序的后期管理维护和移植上制造了很多麻烦。为了使软件易于安装，于是软件就有了绿色的概念，将所有的东西全部存储在一个文件里。想拷走的时候仅仅复制一个文件，与文件有关的配置信息，数据库，链接库都在一个文件里。这里指的可整合就是这种情况。

PE中的延迟加载导入表

在Windows XP SP3的大部分系统PE文件中，都存在延迟加载导入表数据，延迟加载导入表数据的整体组织与导入表类似，也存在INT和IAT双桥结构

延迟加载导入表数据定位

延迟加载导入数据为数据目录注册的数据类型之一，其描述数据处于数据目录的第14个目录项中。
在这里插入图片描述
延迟加载导入数据所造的地址RVA=0x00000203c
延迟加载导入数据大小=0x00000040h
在这里插入图片描述
转换成文件偏移后，0x83C

延迟加载导入描述符 IMAGE_DELAY_IMPORT_DESCRIPTOR

IMAGE_DELAY_IMPORT_DESCRIPTOR  STRUCT
	Attributes		dword		 ?	;0000h		-属性，必须为0
	Name			dword		 ?	;0004h		-指向DLL名称的RVA
	ModuleHandle	dword		 ?	;0008h		-DLL模块句柄的RVA
	DelayIAT		dword		 ?	;000ch		-延迟加载导入IAT的RVA
	DelayINT		dword		 ?	;0010h		-延迟加载导入INT的RVA
	BoundDelayIT	dword		 ?	;0014h		-绑定延迟加载导入表的RVA
	UnloadDelayIT	dword		 ?	;0018h		-卸载延迟加载导入地址表的RVA
	TimeStamp		dword		 ?	;001ch		-此映像绑定到DLL的时间戳
IMAGE_DELAY_IMPORT_DESCRIPTOR	ENDS

IMAGE_DELAY_IMPORT_DESCRIPTOR.Attributes

+0000h，双字，属性，暂时未用，链接器在生成映像文件时将此字段设置为0.用户可以在将来扩展这个结构时用它来指明添加了新字段，或者用它来指明延迟加载导入或卸载辅助函数的行为

IMAGE_DELAY_IMPORT_DESCRIPTOR.Name

+0004h，双字，指向延迟加载导入的动态链接库的名字字符串的地址，该地址是一个RVA。

IMAGE_DELAY_IMPORT_DESCRIPTOR.ModuleHandle

+0008h，双字。被延迟加载导入的DLL模块句柄的RVA。该RVA位于PE映像的数据节中，延迟加载辅助函数使用这个位置存储要被延迟加载的DLL的模块句柄

IMAGE_DELAY_IMPORT_DESCRIPTOR.DelayIAT

+000Ch，双字。延迟加载导入地址表的RVA。延迟加载辅助函数用导入符号的实际地址来更新这些指针，以便起转换作用的这部分代码不会陷入循环调用之中

IMAGE_DELAY_IMPORT_DESCRIPTOR.DelayINT

+0010h，双字。延迟加载导入名称表（INT）包含了可能需要被加载的导入符号的名称。它们的排列方式与IAT的函数指针一样，它们的结构与标准的INT一样。结构的详细信息可以参照导入表部分。

IMAGE_DELAY_IMPORT_DESCRIPTOR.BoundDelayIT

+0014h，双字。延迟绑定导入地址表（BIAT）是由IMAGE_THUNK_DATA结构组成的数组，它是可选的。它与延迟加载目录表中的TimeStamp字段一起被用于后处理绑定阶段。

IMAGE_DELAY_IMPORT_DESCRIPTOR.UnloadDelayIT

+0018h，双字。延迟加载导入地址表（UIAT）是由IMAGE_THUNK_DATA结构组成的数组，它是可选的。卸载代码用它来处理明确的卸载请求。它由只读节中已初始化的数据组成，这些数据是原始IAT 的精确副本。在处理卸载请求时，可以释放这个DLL，同时将IMAGE_DELAY_IMPORT_DESCRIPTOR.ModuleHandle清零，并用UIAT覆盖IAT，以便将一切还原到预加载时的状态。

IMAGE_DELAY_IMPORT_DESCRIPTOR.TimeStamp

+001Ch，双字。表示应用程序绑定到DLL的时间戳

延迟加载导入表实例分析

0x83C
在这里插入图片描述

00	00	00	00

IMAGE_DELAY_IMPORT_DESCRIPTOR.Attributes，属性值为0

30 20	40	00

IMAGE_DELAY_IMPORT_DESCRIPTOR.Name，0x402030转换为文件偏移后0x830开始的字符串“MyDll.dll”
在这里插入图片描述

1c 30	40	00

IMAGE_DELAY_IMPORT_DESCRIPTOR.ModuleHandle。指向.data段，文件偏移0x0000a1C处，此处用来存放MyDll.dll的模块句柄
在这里插入图片描述

14 30	40	00

IMAGE_DELAY_IMPORT_DESCRIPTOR.DelayIAT。指向了延迟加载导入的IAT，位于文件偏移的0x00000a14位置处。该位置位于.data段，
在这里插入图片描述

7c 20	40	00

IMAGE_DELAY_IMPORT_DESCRIPTOR.DelayINT.指向了延迟加载导入的INT，位于文件偏移的0x0000087C位置处，该位置位于.rdata段。从该位置取出的值为0x00402084，它指向了函数sayHello的hint/name描述：00 00/ 73 61 79 48 65 6c 6c 6F 00 00
在这里插入图片描述
在这里插入图片描述

90 20	40	00

IMAGE_DELAY_IMPORT_DESCRIPTOR.BoundDelayIT。指向了绑定延迟加载导入表，位于文件偏移0x00000890位置处，该位置位于.rdata段，从该位置取出的值为0x00000000，表示该映像文件无绑定延迟加载导入定义
在这里插入图片描述

寻梦&之璐
关注
  • 4
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
延迟导入表
dre4merp
05-16 453
延迟导入表，顾名思义就是有一些函数或模块，不需要再程序一启动就加载导入，而是等到真正用到的时候才进行导入的。 延迟导入表和导入表结构基本类似也存在IAT和INT，存在双桥结构，这里不再赘述，关于导入表请参考： 先看一下延迟导入表的结构体。 typedef struct ImgDelayDescr { DWORD grAttrs; // attributes RVA rvaDLLName; // RVA to dll n
WIN让自启程序延迟N秒启动
mo_jinxun的专栏
04-15 1315
使用VBS Dim delayer Set delayer = CreateObject("WScript.Shell") WScript.sleep 2000 delayer.Run """C:\Program Files\GApp\GApp.exe""", 10, FALSE Set delayer = Nothing WScript.quit 说明 delyer.Run的参数： 第一个参数：是启动程序的位置，特别注意：如果位置中有空格的话，需要像上面那样用三个双引号。 第二个参数：可用值是
Windows Bat实现延时功能的几种常见方式
最新发布
小青龍 的博客
07-14 7万+
Windows BAT批处理实现延时(sleep)功能的几种方式：1. 使用`ping`命令实现延时；2. 使用`timeout`命令实现延时；3. 使用`choice`命令实现延时；4. 使用`for`循环实现延时；5. 使用`sleep`命令实现延时；6. 使用`VBScript.sleep`实现延时
PE-延迟导入表
megaparsec
12-19 335
延迟导入表 延迟导入的加载只发生在函数第一次被调用的时候，之后IAT就填充为正确函数地址，不会再走_delayLoadHelper了。 延迟导入一次只会导入一个函数，而不是一次导入整个模块的所有函数。 延迟加载导入表和导入表是相互分离的。一个PE文件中可以同时存在这两种数据，也可 以单独存在一种。延迟加载导入表是一种特殊类型的导入表，同导入表一样，它记录了应用程序要导入的部分或全部动态链接库及相关的函数信息。与导入表不同的是，它所记录的这 些动态链接库并不会被操作系统的PE加载器加载，只有等到由其登记的相关
PE文件格式学习（十六）：延迟加载表(DelayLoadImportDescriptors)
tutucoo
11-08 358
1.介绍 延迟加载表本质上跟绑定导入表的目的是一样的，都是为了加快程序加载文件的速度，只不过方法不一样。 延迟加载是指在调用某个DLL时才去加载，目的是为了避免在程序启动之初就加载了不必要的DLL而浪费了时间。微软建议在两种情况下使用延迟加载： 程序并非在启动时就会调用DLL里面的函数 程序未必会调用该DLL里面的函数 延迟加载表不是系统支持的一个特性，它是由编译器控制的。 2.分析 我们还是...
修复PE 文件导入表
09-02
在实际操作中，可能还需要处理复杂情况，如延迟加载的导入、IAT中的相对偏移量等问题。此外，为了确保安全，修复工具应具备良好的错误处理机制，防止对未损坏的文件进行不必要的修改。 "PEConsole"可能是一个包含...
延迟导入表w.zip
04-01
延迟导入表是PE文件中一个关键的特性，它允许程序在运行时而不是加载时解析和绑定DLL引用。这种机制提高了程序的启动性能，因为不是所有的DLL都需要立即加载。下面我们将深入探讨延迟导入表的概念、工作原理以及相关...
PE结构->【输入表】工具包
06-21
这个“PE结构->【输入表】工具包”显然聚焦于理解并操作PE文件中的“输入表”（Import Table）。输入表是PE文件中一个至关重要的部分，它记录了程序需要依赖哪些外部函数，这些函数通常来自其他的DLL文件。 输入表...
内存加载驱动处理重定位和导入表
06-11
1. **延迟加载**：某些驱动可能会选择延迟加载某些库，这意味着在驱动实际调用这些函数之前，不会解析对应的导入。这样可以减少启动时间，因为不是所有驱动都需要立即调用所有依赖的函数。 2. **直接绑定**：在编译...
Windows portable executable（PE）结构图
03-06
- 位图压缩、延迟加载等技术进一步减少资源占用。 了解PE文件结构对于开发者来说至关重要，无论是编写、调试还是逆向工程Windows程序。通过深入理解这些组件，可以更好地优化代码、诊断问题和安全分析。阅读“PE ...
从内存加载DLL完整代码及示例
11-07
这是一个从内存（资源形式）直接加载并调用DLL中函数的例子。 xDll工程只是一个测试用的dll，附上代码，编译出的xDll.dll直接放在testLoadDll工程目录下 testLoadDll是实际测试代码，从资源直接加载Dll并调用其导出函数 加载用MemoryLoadLibrary() 查找导出函数用MemoryGetProcAddress() 释放时用MemoryFreeLibrary 详情请见代码。 by achillis QQ:344132161
改写PE文件导入表加载DLL
03-18
通过改写PE文件的导入段，实现DLL的加载。PE文件的导入段记录了系统所要加载的DLL名，以及由该DLL所导出的，PE文件中所用到的函数信息。
PE檔案格式.rar_pe
09-19
- **延迟加载**：某些DLL的导入可以延迟到真正需要时才进行，提高程序启动速度。 通过阅读《PE檔案格式.pdf》和参考www.pudn.com提供的资料，可以更深入地理解PE檔案的内部结构和工作原理，这对于逆向工程、软件...
Windows PE 格式详解.zip
03-16
- **延迟加载**：为了提高性能，某些DLL可以被延迟加载，直到它们的实际功能被调用时才加载。 - **ASLR（Address Space Layout Randomization）**：为了防止恶意软件利用已知地址，操作系统可以随机化PE文件的内存...
PE重定位练习
10-07
同时，分析工具还能帮助我们理解PE头中的其他重要字段，如节表、导入表、导出表等，这些都是PE文件结构的关键部分。 总的来说，"PE重定位练习"是一个深入学习Windows程序加载机制的过程，涵盖了PE文件结构、重定位...
PE文件结构详解（五）延迟导入表
evil.eagle的专栏
10-14 9417
延迟导入（Delay Import）。看名字就知道，这种导入机制导入其他DLL的时机比较“迟”，为什么要迟呢？因为有些导入函数可能使用的频率比较低，或者在某些特定的场合才会用到，而有些函数可能要在程序运行一段时间后才会用到，这些函数可以等到他实际使用的时候再去加载对应的DLL，而没必要再程序一装载就初始化好。
PE-导入表
megaparsec
12-19 1939
导入表 在数据目录中一共有四种类型的数据与导入表数据有关。这四种数据依次为： 1.导入表 2.导入函数地址表 3.绑定导入表 4.延迟加载导入表 2.1 导入表 当程序调用了动态链接库的相关函数，在进行编译和链接的时候，编译程序和链接 程序就会将调用的相关信息写入最终生成的PE文件中，以告诉操作系统这些函数的执行 指令字节码从哪里能够获取。这些信息就是导入表所要描述的内容。 2.2 导入函数 程序开发者在基于汇编语言的源程序中，通过invoke指令调用用户自定义的函数，或者从其他动态链接库中导入的函数。
WINDOWS+PE权威指南读书笔记(14)
沐一 · 林 的博客
12-06 478
延迟加载导人表 延迟加载导和人表是 PE 中引入的专门用来描述与动态链接库延迟加载相关的数据，因为这些数据所起的作用和结构与导入表数据基本一致，所以称为延迟加载导入表。 延迟加载导入表和导入表是相互分离的。一个 PE 文件中可以同时存在这两种数据，也可以单独存在一种。延迟加载导入表是一种特殊类型的导人表，同导入表一样，它记录了应用程序要导入的部分或全部动态链接库及相关的函数信息。与导入表不同的是，它所记录的这些动态链接库并不会被操作系统的 PE 加载器加载，只有等到由其登记的相关函数被应用程序调用时
PE结构那个字段可以找到导入表
06-04
PE文件格式中的导入表(import table)信息存储在可执行文件的数据目录中，具体来说是存储在`IMAGE_DIRECTORY_ENTRY_IMPORT`目录项中。该目录项的值可以在PE文件的NT头中找到，NT头是PE文件格式中的一个结构体，包含了PE文件的各种信息，包括数据目录的位置和大小等信息。 NT头的结构体定义如下： ``` typedef struct _IMAGE_NT_HEADERS { DWORD Signature; IMAGE_FILE_HEADER FileHeader; IMAGE_OPTIONAL_HEADER32 OptionalHeader; } IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32; ``` 其中，`OptionalHeader`成员是一个结构体类型，它包含了PE文件的各种信息，包括数据目录的位置和大小等信息。`OptionalHeader`结构体定义如下： ``` typedef struct _IMAGE_OPTIONAL_HEADER { WORD Magic; BYTE MajorLinkerVersion; BYTE MinorLinkerVersion; DWORD SizeOfCode; DWORD SizeOfInitializedData; DWORD SizeOfUninitializedData; DWORD AddressOfEntryPoint; DWORD BaseOfCode; DWORD BaseOfData; DWORD ImageBase; DWORD SectionAlignment; DWORD FileAlignment; WORD MajorOperatingSystemVersion; WORD MinorOperatingSystemVersion; WORD MajorImageVersion; WORD MinorImageVersion; WORD MajorSubsystemVersion; WORD MinorSubsystemVersion; DWORD Win32VersionValue; DWORD SizeOfImage; DWORD SizeOfHeaders; DWORD CheckSum; WORD Subsystem; WORD DllCharacteristics; DWORD SizeOfStackReserve; DWORD SizeOfStackCommit; DWORD SizeOfHeapReserve; DWORD SizeOfHeapCommit; DWORD LoaderFlags; DWORD NumberOfRvaAndSizes; IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]; } IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32; ``` 其中，`DataDirectory`是一个数组，它包含了PE文件的各个数据目录项的位置和大小等信息。导入表信息就存储在`IMAGE_DIRECTORY_ENTRY_IMPORT`目录项中，它是`DataDirectory`数组的第5个元素，可以通过以下代码找到导入表的位置和大小： ``` PIMAGE_NT_HEADERS pNTHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); PIMAGE_DATA_DIRECTORY pImportTable = &pNTHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT]; DWORD dwImportTableSize = pImportTable->Size; DWORD dwImportTableVA = pImportTable->VirtualAddress; ``` 其中，`pDosHeader`是指向PE文件DOS头的指针。`dwImportTableVA`是导入表在内存中的虚拟地址，`dwImportTableSize`是导入表的大小。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

寻梦&之璐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值