打造DLL内存加载引擎学习笔记

原文：http://www.pediy.com/kssd/index.html -- 病毒技术 -- 病毒知识 -- Anti Virus专题

首先看下我们内存加载引擎的流程。

  1. 申请一段大小为dll映射内存后的映像大小的内存空间。

  2. 移动各个区段的数据到申请的内存。

  2. 修复引入表结构的地址表。

  4. 通过重定位结构修复需要重定位的地址。

  5. 调用DllMain入口点

流程解析：

1. pe结构中nt header结构当中的ImageSize存放的是我们整个文件映射到内存后的映像大小，这个大小是经过对齐的, 读取这个成员值，来申请内存空间，内存空间的属性为“可读可写可执行”，VirtualAlloc来申请。
2. 读取各个节表结构的各区段的物理偏移和物理大小，然后移动各区段数据到节表结构对应的的内存空间中(注意:实际上就是将节表结构的VirtualAddress + 申请的内存空间地址），移动的大小则为我们物理大小.
3. 修复导入表结构的地址表。其实就是修复导入表