本文将通过一个实例说明PE结构中的import table及import address table(IAT).
在data directory中有两项：IMAGE_DIRECTORY_ENTRY_IMPORT(1)和IMAGE_DIRECTORY_ENTRY_IAT(12)，IMAGE_DIRECTORY_ENTRY_IMPORT指向了该PE文件中所有的输入信息，而IMAGE_DIRECTORY_ENTRY_IAT指向了该PE文件中的导入地址表。现在不必关心这两个表的关系，在之后的分析中将渐渐明朗。
如果用C/C++程序来分析import table或IAT的结构不是很合适，因为CRT会插入太多的代码到最终的PE文件中，所以我们选择用汇编代码作为例子，好处就是所有的导入函数都是自己的代码中确确实实使用到的，一目了然。
我们使用现成的一个例子的分析：（摘自Win32ASM Programming 3rd Edition）
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- ; Sample code for < Win32ASM Programming 3rd Edition>
- ; by 罗云彬, http://www.win32asm.com.cn
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- ; FirstWindow.asm
- ; 窗口程序的模板代码
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- ; 使用 nmake 或下列命令进行编译和链接:
- ; ml /c /coff FirstWindow.asm
- ; Link /subsystem:windows FirstWindow.obj
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- .386
- .model flat,stdcall
- option casemap:none
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- ; Include 文件定义
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- include windows.inc
- include gdi32.inc
- includelib gdi32.lib
- include user32.inc
- includelib user32.lib
- include kernel32.inc
- includelib kernel32.lib
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- ; 数据段
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- .data?
- hInstance dd ?
- hWinMain dd ?
- .const
- szClassName db 'MyClass',0
- szCaptionMain db 'My first Window !',0
- szText db 'Win32 Assembly, Simple and powerful !',0
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- ; 代码段
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- .code
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- ; 窗口过程
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- _ProcWinMain proc uses ebx edi esi hWnd,uMsg,wParam,lParam
- local @stPs:PAINTSTRUCT
- local @stRect:RECT
- local @hDc
- mov eax,uMsg
- ;********************************************************************
- .if eax == WM_PAINT
- invoke BeginPaint,hWnd,addr @stPs
- mov @hDc,eax
- invoke GetClientRect,hWnd,addr @stRect
- invoke DrawText,@hDc,addr szText,-1,/
- addr @stRect,/
- DT_SINGLELINE or DT_CENTER or DT_VCENTER
- invoke EndPaint,hWnd,addr @stPs
- ;********************************************************************
- .elseif eax == WM_CLOSE
- invoke DestroyWindow,hWinMain
- invoke PostQuitMessage,NULL
- ;********************************************************************
- .else
- invoke DefWindowProc,hWnd,uMsg,wParam,lParam
- ret
- .endif
- ;********************************************************************
- xor eax,eax
- ret
- _ProcWinMain endp
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- _WinMain proc
- local @stWndClass:WNDCLASSEX
- local @stMsg:MSG
- invoke GetModuleHandle,NULL
- mov hInstance,eax
- invoke RtlZeroMemory,addr @stWndClass,sizeof @stWndClass
- ;********************************************************************
- ; 注册窗口类
- ;********************************************************************
- invoke LoadCursor,0,IDC_ARROW
- mov @stWndClass.hCursor,eax
- push hInstance
- pop @stWndClass.hInstance
- mov @stWndClass.cbSize,sizeof WNDCLASSEX
- mov @stWndClass.style,CS_HREDRAW or CS_VREDRAW
- mov @stWndClass.lpfnWndProc,offset _ProcWinMain
- mov @stWndClass.hbrBackground,COLOR_WINDOW + 1
- mov @stWndClass.lpszClassName,offset szClassName
- invoke RegisterClassEx,addr @stWndClass
- ;********************************************************************
- ; 建立并显示窗口
- ;********************************************************************
- invoke CreateWindowEx,WS_EX_CLIENTEDGE,offset szClassName,offset szCaptionMain,/
- WS_OVERLAPPEDWINDOW,/
- 100,100,600,400,/
- NULL,NULL,hInstance,NULL
- mov hWinMain,eax
- invoke ShowWindow,hWinMain,SW_SHOWNORMAL
- invoke UpdateWindow,hWinMain
- ;********************************************************************
- ; 消息循环
- ;********************************************************************
- .while TRUE
- invoke GetMessage,addr @stMsg,NULL,0,0
- .break .if eax == 0
- invoke TranslateMessage,addr @stMsg
- invoke DispatchMessage,addr @stMsg
- .endw
- ret
- _WinMain endp
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- start:
- call _WinMain
- invoke ExitProcess,NULL
- ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
- end start
通过stud_pe(一个很好的学习PE的工具)我们清楚的看到在这个例子中我们使用了如下导入函数：
user32.dll:
DispatchMessageA
DrawTextA
EndPaint
GetClientRect
GetMessageA
DestroyWindow
PostQuitMessage
RegisterClassExA
ShowWindow
TranslateMessage
UpdateWindow
DefWindowProcA
CreateWindowExA
LoadCursorA
BeginPaint
kernel32.dll:
GetModuleHandleA
ExitProcess
RtlZeroMemory
现在我们从Data Directory开始分析。（以下截图均来自Stud_PE）
IMAGE_DIRECTORY_ENTRY_IMPORT：
IMAGE_DIRECTORY_ENTRY_IAT：
在继续之前我们需要了解两个东西：
1. Data Directory的每一项前四字节表示虚拟地址，后四字节表示大小，本文中不关心。不熟悉的读书可以查阅PE结构获取更多信息。
2. 这里的地址是虚拟地址，也就是载入内存以后的地址。我们如何在文件中也就是物理硬盘上找到对应的内容呢？其实通过Optional Header中的FileAlignment和SectionAlignment可以实现虚拟地址和物理地址的转化。有兴趣的读书可以查阅PE结构获取更多信息，本文将使用stud_pe提供的转化工具完成相应工作。
接下来开始我们逐步分析：
Import table的地址：00002090 通过stud_pe找到物理地址：00000690
IAT的地址：00002000 通过stud_pe找到物理地址：00000600
那么00000690和00000600分别在文件的哪个section呢？通过查看该PE的section table我们发现所有的相关信息都存放在.rdata段了。说到这里简单提一下，data directory中指向的内容都是存在各个section中的，至于存在哪个section主要看section的读写属性，当然也可以另起一个section单独存放某个data entry的内容，比如.reloc就作为一个单独的段存放了所有的重定位信息。
为了方便，我们把整个.rdata段拿出来分析：
在继续之前，我们先大概了解一下import table的知识：
这个图再清晰不过了，不过要彻底搞明白还是要结合例子分析：
输入表是一个 IMAGE_IMPORT_DESCRIPTOR数据结构的数组，这个结构定义如下：
- typedef struct _IMAGE_IMPORT_DESCRIPTOR {
- union {
- DWORD Characteristics;
- DWORD OriginalFirstThunk;
- } DUMMYUNIONNAME;
- DWORD TimeDateStamp;
- DWORD ForwarderChain;
- DWORD Name;
- DWORD FirstThunk;
- } IMAGE_IMPORT_DESCRIPTOR;
这个结构总共20个字节，最重要的有三个：OriginalFirstThunk、Name、FirstThunk。一个IMAGE_IMPORT_DESCRIPTOR包含了从一个dll中导入的信息，在这个例子中我们有两个dll：user32.dll和kernel32.dll，最后用一个全0的IMAGE_IMPORT_DESCRIPTOR表示结束。我们只提取我们关心的东西：
OriginalFirstThunk1: 000020DC --> 000006DC(物理地址)
Name1: 0000220E --> 0000080E
FirstThunk1: 00002010 --> 00000610
OriginalFirstThunk2: 000020CC --> 000006CC(物理地址)
Name2: 0000224C --> 0000084C
FirstThunk2: 00002000 --> 00000600
我们先从简单的开始分析：Name
（前面的地址如00000200不是真实的物理地址，在stud_pe中此地址表示到.rdata的起始地址的偏移，也就是00000600+00000200，因此我们看到user32.dll的物理地址其实是0000080E，也就是Name1的值。kernel32.dll同理）
再继续往下之前，我们先要回到之前PE的import table结构中另外两个结构的定义：
- typedef struct _IMAGE_THUNK_DATA {
- union {
- ULONGLONG ForwarderString; // PBYTE
- ULONGLONG Function; // PDWORD
- ULONGLONG Ordinal;
- ULONGLONG AddressOfData; // PIMAGE_IMPORT_BY_NAME
- } u1;
- } IMAGE_THUNK_DATA;
- typedef struct _IMAGE_IMPORT_BY_NAME {
- WORD Hint;
- BYTE Name[1];
- } IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
我们看到IMAGE_THUNK_DATA是一个4字节的联合，在本例中其实就是一个IMAGE_IMPORT_BY_NAME的虚拟地址。如果导入函数不是用函数名导入的而是用序号导入的，情况就不一样了，具体是按名字导入还是按序号导入是看IMAGE_THUNK_DATA字段的最高位是否为1决定的。具体可查看PE文件结构。
接下来我们结合例子来看OriginalFirstThunk和FirstThunk两个字段表示的意义（以kernel32.dll为例）：
OriginalFirstThunk: 000020CC --> 000006CC
内容如下：（28 22 00 00 1A 22 00 00 3C 22 00 00 00 00 00 00）
FirstThunk: 00002000 --> 00000600
内容如下：（28 22 00 00 1A 22 00 00 3C 22 00 00 00 00 00 00）
我们发现了两个地方：
1. 000006CC和00000600指向的内容是一样的，但是确存放了两个拷贝。
2. 00000600好熟悉啊。。。回头看看原来是data directory中IMAGE_DIRECTORY_ENTRY_IAT的地址！
OriginalFirstThunk和FirstThunk其实是指向了两个不同的表INT和IAT，但是这两个表其实内容是相同的。INT/IAT中的内容在本例中都是虚拟地址，至于该虚拟地址中的数据究竟表示了什么含义，就涉及IMAGE_IMPORT_BY_NAME这个结构体了。我们就取一个例子分析：1A 22 00 00 --> 0000081A（9B 00 45 78 69 74 50 72 6F 63 65 73 73 00）
Hint: 00 9B，这个是用来优化的，具体不展开，在本例中直接可以忽略。
Name: 45 78 69 74 50 72 6F 63 65 73 73 00 == ExitProcess
至于为什么需要用两个相同的表INT/IAT，原因比较复杂，简单的说是为了加快加载速度，能够进行链接时绑定。具体就不展开了，因为跟本文主题没有密切的联系，有兴趣的读者自己查阅相关资料。
对import table的分析基本全部完成了，现在我们再回头来看一下IAT的内容：
除了之前kernel32对应的FirstThunk，还有user32.dll对应的FirstThunk（00000610），也就是说IAT其实包含了该PE文件中所有导入的函数，以00 00 00 00作为一个dll的结尾。IAT对应的data directory的size告诉我们IAT的大小，在本例中50h表示这个IAT总共包含了80字节（20项）。
说到这里其实关于import table跟IAT相关的分析已经结束了，但是既然话题是import相关的，那我们也来分析一下在代码中调用一个输入函数是如何处理的：
比如：invoke ExitProcess,NULL
我们在OD中可以看到对应的机器/汇编指令：E8 5B 00 00 00/CALL 004011CA
004011CA这个地址是做什么用的呢？在OD中我们看到004011CA地址对应的指令如下：
JMP DWORD PTR DS:[402004]
那么402004是什么呢？？？噢！其实就是文件中对应的物理地址604！402004-400000（exe加载地址）== 2004 --> 604，也就是IAT表中的第二项，那么是1A 22 00 00么？不是！为什么叫IAT（image address table）？因为这个表的内容在加载时会用实在的导入函数地址填充。所以这个时候其实是真正的ExitProcess的地址了，我们可以用OD看到，运行时这个地址是76 0E 73 4E！
其实这个就是调用外部函数通常的做法，先用CALL指令转向一个跳转表：
而这个跳转表其实就是用JMP指令跳转到了IAT中的每一项。但是这个跳转表不是必需的，又是也可以直接用CALL DWORD PTR DS:[XXX]这样的语句实现外部函数的调用，XXX正是IAT中的某一项的地址。具体什么时候系统会创建这个跳转表是个疑问，暂时没有找到规律。
3万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
