《Windows PE》4.1.3 IAT函数地址表

于 2024-10-04 15:40:30 发布
阅读量591 收藏 9
点赞数 9
分类专栏： Windows PE 文章标签： windows PE 汇编 c语言
本文链接：https://blog.csdn.net/bcdaren/article/details/142703630
版权

IAT（Import Address Table）表又称为函数地址表，是Windows可执行文件中的一个重要数据结构，用于存储导入函数的实际入口地址。

在可执行文件中，当一个模块需要调用另一个模块中的函数时，通常会使用导入函数的方式进行。导入函数的入口地址在程序加载时并不确定，需要在运行时进行动态链接，以获取实际的函数入口地址。IAT表就是用来存储这些实际的函数入口地址。

IAT表是一个由函数指针构成的表格，每个函数指针对应一个导入函数。在Windows可执行文件中，IAT表是一个以NULL结尾的函数指针数组，每个函数指针对应一个导入函数的实际入口地址。

IAT表通常是通过导入描述符（Import Descriptor）中的FirstThunk字段指向的地址来访问的。FirstThunk指向一个由IMAGE_THUNK_DATA结构体构成的表，每个IMAGE_THUNK_DATA结构体中的Function字段存储着导入函数的实际入口地址。

在程序加载时，操作系统会根据导入描述符中的INT表和IAT表进行动态链接，将导入函数的实际入口地址填充到IAT表中的函数指针对应的位置。这样，在程序运行时，就可以直接通过IAT表中的函数指针调用导入函数，而无需进行额外的解析和跳转。

 注意

IAT函数地址表中的函数指针是在程序加载和链接时被填充的，而导入表描述符中的IAT表中的函数指针在未绑定的状态下与INT表完全相同。如果导入表描述符的TimeDateStamp和ForwarderChain字段是一个特殊的标志值，如0xFFFFFFFF，表示导入函数已绑定，则IAT函数地址表中存储的是真实的导入函数地址。

实验二十五：如何定位IAT表？

我们以32位汇编版HelloWorld.exe为例，将其拖入WinHex，如下所示：

00000140   00 00 00 00 00 00 00 00  DC 20 00 00 3C 00 00 00   ........?..<...

00000150   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

00000160   00 00 00 00 00 00 00 00  00 40 00 00 10 00 00 00   .........@......

00000170   10 20 00 00 1C 00 00 00  00 00 00 00 00 00 00 00   . ..............

00000180   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

00000190   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

000001A0   00 20 00 00 10 00 00 00  00 00 00 00 00 00 00 00   . ..............

000001B0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

000001C0   2E 74 65 78 74 00 00 00  26 00 00 00 00 10 00 00   .text...&.......

000001D0   00 02 00 00 00 04 00 00  00 00 00 00 00 00 00 00   ................

000001E0   00 00 00 00 20 00 00 60  2E 72 64 61 74 61 00 00   .... ..`.rdata..

000001F0   5E 01 00 00 00 20 00 00  00 02 00 00 00 06 00 00   ^.... ..........

00000200   00 00 00 00 00 00 00 00  00 00 00 00 40 00 00 40   ............@..@

00000210   2E 64 61 74 61 00 00 00  1B 00 00 00 00 30 00 00   .data........0..

00000220   00 02 00 00 00 08 00 00  00 00 00 00 00 00 00 00   ................

00000230   00 00 00 00 40 00 00 C0  2E 72 65 6C 6F 63 00 00   ....@..?reloc..

00000240   10 00 00 00 00 40 00 00  00 02 00 00 00 0A 00 00   .....@..........

00000250   00 00 00 00 00 00 00 00  00 00 00 00 40 00 00 42   ............@..B

首先我们查找数据目录项的第12项，即IAT表项。位于00000220H地址处的RVA值为00002010H，大小为0000001CH。

此RVA地址同样位于.rdata节区。

IAT表的FOA地址=00002000H-00002000H+600H=600H。

00000600   42 21 00 00 00 00 00 00  28 21 00 00 00 00 00 00   B!......(!......

00000610   00 00 00 00 E4 68 03 66  00 00 00 00 0D 00 00 00   ....鋒.f........

00000620   B0 00 00 00 2C 20 00 00  2C 06 00 00 00 00 00 00   ?.., ..,.......

00000630   00 10 00 00 26 00 00 00  2E 74 65 78 74 00 00 00   ....&....text...

00000640   00 20 00 00 10 00 00 00  2E 69 64 61 74 61 24 35   . .......idata$5

00000650   00 00 00 00 10 20 00 00  1C 00 00 00 2E 72 64 61   ..... .......rda

00000660   74 61 00 00 2C 20 00 00  B0 00 00 00 2E 72 64 61   ta.., ..?...rda

00000670   74 61 24 7A 7A 7A 64 62  67 00 00 00 DC 20 00 00   ta$zzzdbg...?..

00000680   28 00 00 00 2E 69 64 61  74 61 24 32 00 00 00 00   (....idata$2....

00000690   04 21 00 00 14 00 00 00  2E 69 64 61 74 61 24 33   .!.......idata$3

000006A0   00 00 00 00 18 21 00 00  10 00 00 00 2E 69 64 61   .....!.......ida

000006B0   74 61 24 34 00 00 00 00  28 21 00 00 36 00 00 00   ta$4....(!..6...

000006C0   2E 69 64 61 74 61 24 36  00 00 00 00 00 30 00 00   .idata$6.....0..

000006D0   1B 00 00 00 2E 64 61 74  61 00 00 00 20 21 00 00   .....data... !..

000006E0   00 00 00 00 00 00 00 00  36 21 00 00 08 20 00 00   ........6!... ..

000006F0   18 21 00 00 00 00 00 00  00 00 00 00 50 21 00 00   .!..........P!..

00000700   00 20 00 00 00 00 00 00  00 00 00 00 00 00 00 00   . ..............

00000710   00 00 00 00 00 00 00 00  42 21 00 00 00 00 00 00   ........B!......

00000720   28 21 00 00 00 00 00 00  B1 01 4D 65 73 73 61 67   (!......?Messag

00000730   65 42 6F 78 41 00 75 73  65 72 33 32 2E 64 6C 6C   eBoxA.user32.dll

00000740   00 00 9B 00 45 78 69 74  50 72 6F 63 65 73 73 00   ..?ExitProcess.

00000750   6B 65 72 6E 65 6C 33 32  2E 64 6C 6C 00 00 00 00   kernel32.dll....

       IAT表内包含两个函数名的RVA地址：

       第一个：00002142H转为FOA地址为742H，是kernel32.dll中的ExitProcess函数。

       第二个：00002128H转为FOA地址为728H，是user32.dll中的MessagBoxA函数。

       我们再来看一下导入表描述符中的桥2（FirstThunk字段），指向IAT表。

       第一个导入表描述符FirstThunk字段的值为00002008H，转为FOA地址为608H，其RVA值为00002128H，即user32.dll中的MessagBoxA函数。

       第二个导入表描述符FirstThunk字段的值为00002000H，转为FOA地址为600H，其RVA值为00002142H，即kernel32.dll中的ExitProcess函数。

 

总结

       我们会发现，在未绑定导入函数的情况下，实验二十五中给出的IAT函数地址表中数据与INT表中的数据完全相同。如果已绑定导入函数，则IAT表直接存储真实的函数入口地址。我们将在下一节中详细讲述。

实验二十六：遍历IAT函数地址表。

我们以32位和64位记事本程序为例：

/*------------------------------------------------------------------------

 FileName:PrintImportDescriptor.c

 实验26：遍历IAT表(支持32位和64位PE)

 (c) bcdaren, 2024

-----------------------------------------------------------------------*/

#include <stdio.h>

#include <windows.h>

#define WIN64

PBYTE loadPE(LPCWSTR szFile);

VOID iat32(PBYTE lpvResult);

VOID iat64(PBYTE lpvResult);

DWORD RvaToFoa(PIMAGE_NT_HEADERS ntHeaders, DWORD rva);

int main(int argc, char* argv[])

{

    LPCWSTR szFileName = TEXT("c:\\notepad64.exe");

    //PCWSTR szFileName = TEXT("c:\\HelloWorld.exe");

    PBYTE lpAddress = NULL; //PE文件内存映射文件地址

    lpAddress = loadPE(szFileName);

    if (lpAddress)

    {

        printf("%ls\n", szFileName);

#ifdef WIN64

        iat64(lpAddress);

#else

        iat32(lpAddress);

#endif

    }

    system("pause");

    return 0;

}

//创建PE文件映射对象

PBYTE loadPE(LPCWSTR szFile)

{

    HANDLE hFile;

    LPVOID lpvResult, lpvResult2;

    char buffer[16] = { 0 };

    DWORD dwPageSize;

    DWORD dwBytesRead = 0;

    BOOL bReadFile;

    PIMAGE_DOS_HEADER psImageDOSHeader;

#ifdef WIN64

    PIMAGE_NT_HEADERS64 psImageNTHeader;

#else

    PIMAGE_NT_HEADERS32 psImageNTHeader;

#endif

    PIMAGE_SECTION_HEADER sImageSecctionHeader[20]; //节表项

    hFile = CreateFile(szFile,

        GENERIC_READ,          // 只读打开

        FILE_SHARE_READ,       // 允许其他进程以读取方式打开文件

        NULL,                  // 默认安全属性

        OPEN_EXISTING,         // 打开已存在的文件

        FILE_ATTRIBUTE_NORMAL, // 普通文件

        NULL);

    dwPageSize = GetFileSize(hFile, 0);//获得文件大小可通过结构体获取

    lpvResult = VirtualAlloc(// 给文件分配内存空间

        NULL,               // 系统自动选择起始地址

        dwPageSize,         // 指定要分配的内存大小，以字节为单位

        MEM_COMMIT,         // 将申请到的虚拟内存提交到物理内存

        PAGE_READWRITE);    // read/write 属性

//将文件读至分配的内存

    bReadFile = ReadFile(hFile, lpvResult, dwPageSize, &dwBytesRead, 0);

    //实现将磁盘文件地址偏移至内存地址

#ifdef WIN64   

    psImageDOSHeader = (PIMAGE_DOS_HEADER)lpvResult;

    psImageNTHeader = (PIMAGE_NT_HEADERS64)

        ((BYTE*)lpvResult + psImageDOSHeader->e_lfanew);

    DWORD num = psImageNTHeader->FileHeader.NumberOfSections;

    sImageSecctionHeader[0] = (PIMAGE_SECTION_HEADER)

        ((BYTE*)psImageNTHeader + sizeof(IMAGE_NT_HEADERS64));

    for(DWORD i = 1; i < num;i++)

    {

        sImageSecctionHeader[i] = (PIMAGE_SECTION_HEADER)

            ((BYTE*)sImageSecctionHeader[0] + sizeof(IMAGE_SECTION_HEADER));

    }

#else

    psImageDOSHeader = (PIMAGE_DOS_HEADER)lpvResult;

    psImageNTHeader = (PIMAGE_NT_HEADERS32)

        ((BYTE*)lpvResult + psImageDOSHeader->e_lfanew);

    DWORD num = psImageNTHeader->FileHeader.NumberOfSections;

    sImageSecctionHeader[0] = (PIMAGE_SECTION_HEADER)

        ((BYTE*)psImageNTHeader + sizeof(IMAGE_NT_HEADERS32));

    for (DWORD i = 1; i < num; i++)

    {

        sImageSecctionHeader[i] = (PIMAGE_SECTION_HEADER)

            ((BYTE*)sImageSecctionHeader[i-1] + sizeof(IMAGE_SECTION_HEADER));

    }

#endif

    //以4KB为单位分配内存空间

    dwPageSize = sImageSecctionHeader[num-1]->Misc.VirtualSize +

sImageSecctionHeader[num-1]->VirtualAddress;

    dwPageSize = (dwPageSize / 0x1000 + 1) * 0x1000;//已4KB为单位对齐

    lpvResult2 = VirtualAlloc(

        NULL,

        dwPageSize,         // 内存大小, 以字节为单位

        MEM_COMMIT,         // 将申请到的虚拟内存提交到物理内存

        PAGE_READWRITE);    // read/write 属性  

    //拷贝PE文件头

#ifdef WIN64

    CopyMemory(lpvResult2, lpvResult, psImageDOSHeader->e_lfanew +

sizeof(IMAGE_NT_HEADERS64) + 3 * sizeof(IMAGE_SECTION_HEADER));

#else

    CopyMemory(lpvResult2, lpvResult, psImageDOSHeader->e_lfanew +

sizeof(IMAGE_NT_HEADERS32) + 3 * sizeof(IMAGE_SECTION_HEADER));

#endif

    //拷贝第0个节区数据

    for (DWORD i = 0;i < num;i++)

    {

        CopyMemory((BYTE*)lpvResult2 + sImageSecctionHeader[i]->VirtualAddress,

            (BYTE*)lpvResult + sImageSecctionHeader[i]->PointerToRawData,

            sImageSecctionHeader[i]->Misc.VirtualSize);

    }

    return (PBYTE)lpvResult2;

}

//32位PE文件

VOID iat32(PBYTE lpvResult)

{

    DWORD dwTemp = 0;

    PIMAGE_DOS_HEADER pImageDOSHeader = (PIMAGE_DOS_HEADER)lpvResult;

    PIMAGE_NT_HEADERS32 psImageNTHeader = (PIMAGE_NT_HEADERS32)(lpvResult +

pImageDOSHeader->e_lfanew);

   

    //导出表VA地址

    dwTemp = psImageNTHeader->OptionalHeader.DataDirectory[12].VirtualAddress +

(DWORD)pImageDOSHeader;

    PIMAGE_THUNK_DATA32 IatAddress = (PIMAGE_THUNK_DATA32)dwTemp;

    printf("IAT函数地址表的VA地址为%08x\n", (DWORD)IatAddress);

    //导出表VA地址

    dwTemp = psImageNTHeader->OptionalHeader.DataDirectory[1].VirtualAddress +

(DWORD)pImageDOSHeader;

    PIMAGE_IMPORT_DESCRIPTOR pImageImportDescriptor =

(PIMAGE_IMPORT_DESCRIPTOR)dwTemp;

    //遍历导入表描述符

    for (DWORD i = 0; *(DWORD*)(pImageImportDescriptor + i) != 0; i++)

    {

        //打印模块名

        DWORD NameAddress = (pImageImportDescriptor + i)->Name +

(DWORD)pImageDOSHeader;

        printf("%s:\n", (PBYTE)NameAddress);

        //获取桥1 RVA地址

        DWORD OriginalFirstThunkRVA = (pImageImportDescriptor +

i)->OriginalFirstThunk;

        DWORD TimeDate = (pImageImportDescriptor + i)->TimeDateStamp;

        if (TimeDate == -1)

        {

            printf("已绑定导入函数。\n");

            //获取桥2 VA地址

            PIMAGE_THUNK_DATA32 FirstThunkData =

(PIMAGE_THUNK_DATA32)(pImageImportDescriptor + i)->FirstThunk;

            dwTemp = (DWORD)pImageDOSHeader + (DWORD)FirstThunkData;

            FirstThunkData = (PIMAGE_THUNK_DATA32)dwTemp;

            for (DWORD j = 0; *((DWORD*)FirstThunkData + j) != 0; j++)

            {

                //INT表

                DWORD AddressOfData = (FirstThunkData + j)->u1.AddressOfData;

                //输出函数名

                printf("函数地址：0x%04X\n", AddressOfData);

            }

            printf("\n");

        }

        else

        {

            //获取桥2 VA地址

            PIMAGE_THUNK_DATA32 FirstThunkData =

(PIMAGE_THUNK_DATA32)(pImageImportDescriptor + i)->FirstThunk;

            dwTemp = (DWORD)pImageDOSHeader + (DWORD)FirstThunkData;

            FirstThunkData = (PIMAGE_THUNK_DATA32)dwTemp;

            for (DWORD j = 0; *((DWORD*)FirstThunkData + j) != 0; j++)

            {

                //INT表

                DWORD AddressOfDataRVA = (FirstThunkData +

j)->u1.AddressOfData;

                dwTemp = (DWORD)pImageDOSHeader + (DWORD)AddressOfDataRVA;

                PIMAGE_IMPORT_BY_NAME pImageImportByName =

(PIMAGE_IMPORT_BY_NAME)dwTemp;

                //输出函数名

                printf("0x%04X : %s\n", pImageImportByName->Hint,

pImageImportByName->Name);

            }

            printf("\n");

        }

    }

}

//64位PE文件

VOID iat64(PBYTE lpvResult)

{

    ULONGLONG dwTemp = 0;

    PIMAGE_DOS_HEADER pImageDOSHeader = (PIMAGE_DOS_HEADER)lpvResult;

    PIMAGE_NT_HEADERS64 psImageNTHeader = (PIMAGE_NT_HEADERS64)(lpvResult +

pImageDOSHeader->e_lfanew);

    //导出表VA地址

    dwTemp = psImageNTHeader->OptionalHeader.DataDirectory[12].VirtualAddress +

(ULONGLONG)pImageDOSHeader;

    PIMAGE_THUNK_DATA64 IatAddress = (PIMAGE_THUNK_DATA64)dwTemp;

    printf("IAT函数地址表的VA地址为%08lx\n", (unsigned long)IatAddress);

    //导出表VA地址

    dwTemp = psImageNTHeader->OptionalHeader.DataDirectory[1].VirtualAddress +

(ULONGLONG)pImageDOSHeader;

    PIMAGE_IMPORT_DESCRIPTOR pImageImportDescriptor =

(PIMAGE_IMPORT_DESCRIPTOR)dwTemp;

    //遍历导入表描述符

    for (DWORD i = 0; *(DWORD*)(pImageImportDescriptor + i) != 0; i++)

    {

        //打印模块名

        LONGLONG NameAddress = (pImageImportDescriptor + i)->Name +

(ULONGLONG)pImageDOSHeader;

        printf("%s:\n", (PBYTE)NameAddress);

        //获取桥1 RVA地址

        DWORD OriginalFirstThunkRVA = (pImageImportDescriptor +

i)->OriginalFirstThunk;

        DWORD TimeDate = (pImageImportDescriptor + i)->TimeDateStamp;

        if (TimeDate == -1)

        {

            printf("已绑定导入函数。\n");

            //获取桥2 VA地址

            PIMAGE_THUNK_DATA64 FirstThunkData =

(PIMAGE_THUNK_DATA64)(pImageImportDescriptor + i)->FirstThunk;

            dwTemp = (ULONGLONG)pImageDOSHeader + (ULONGLONG)FirstThunkData;

            FirstThunkData = (PIMAGE_THUNK_DATA64)dwTemp;

            for (DWORD j = 0; *((DWORD*)FirstThunkData + j) != 0; j++)

            {

                //INT表

                ULONGLONG AddressOfData = (FirstThunkData +

j)->u1.AddressOfData;

                //输出函数名

                printf("函数地址：0x%08lx\n", (unsigned long)AddressOfData);

            }

            printf("\n");

        }

        else

        {

            //获取桥2 VA地址

            PIMAGE_THUNK_DATA64 FirstThunkData =

(PIMAGE_THUNK_DATA64)(pImageImportDescriptor + i)->FirstThunk;

            dwTemp = (ULONGLONG)pImageDOSHeader + (ULONGLONG)FirstThunkData;

            FirstThunkData = (PIMAGE_THUNK_DATA64)dwTemp;

            for (ULONGLONG j = 0; *((ULONGLONG*)FirstThunkData + j) != 0; j++)

            {

                //INT表

                ULONGLONG AddressOfDataRVA = (FirstThunkData +

j)->u1.AddressOfData;

                dwTemp = (ULONGLONG)pImageDOSHeader +

(ULONGLONG)AddressOfDataRVA;

                PIMAGE_IMPORT_BY_NAME pImageImportByName =

(PIMAGE_IMPORT_BY_NAME)dwTemp;

                //输出函数名

                printf("0x%04X : %s\n", pImageImportByName->Hint,

pImageImportByName->Name);

            }

            printf("\n");

        }

    }

}

//RVA转FOA

DWORD RvaToFoa(PIMAGE_NT_HEADERS ntHeaders, DWORD rva) {

    //ntHeaders+4+sizeof(IMAGE_FILE_HEADER)+FileHeader.SizeOfOptionalHeader（32或64位PE）

    PIMAGE_SECTION_HEADER sectionHeader = IMAGE_FIRST_SECTION(ntHeaders);

    WORD numberOfSections = ntHeaders->FileHeader.NumberOfSections;

    for (WORD i = 0; i < numberOfSections; i++) {

        DWORD sectionStartRva = sectionHeader->VirtualAddress;

        DWORD sectionEndRva = sectionStartRva + sectionHeader->SizeOfRawData;

        if (rva >= sectionStartRva && rva < sectionEndRva) {

            DWORD foa = sectionHeader->PointerToRawData + (rva –

sectionStartRva);

            return foa;

        }

        sectionHeader++;

    }

    return 0;  // RVA not found

}

 

总结

       1．示例程序以PE内存映像格式遍历IAT函数地址表。

       2．遍历时，根据导入表描述符的TimeDateStamp字段考虑两种情况：

       已绑定导入表，直接输出导入函数的实际地址，如notepad32.exe。

       未绑定导入表，则输出导入函数名。

       3．遍历IAT函数地址表的流程：

       第一步：创建PE内存映像文件，参见实验19。

       第二步：遍历IAT函数地址表。首先找到数据目录项的第12项，获取IAT函数地址表的RVA地址，加上基址后，得到并输出加载到内存中的IAT函数地址表的VA地址。

       第三步：根据数据目录项的第1项，找到导入表的RVA地址，加上基址后得到内存映像文件中的导入表VA地址。

       第四步：根据导入表描述符，输出DLL模块名。

第五步：判断是否已绑定导入表。如果已绑定，根据FirstThunk字段遍历导入函数地址表。如果未绑定，则根据FirstThunk字段遍历导入函数名。遍历的过程如图4-2所示。

遍历FirstThunk

图4-2 遍历IAT表

 注意

       IAT表中RVA地址后面4个字节0作为每个DLL模块的分隔符。示例中包含user32.dll和kernel32.dl两个DLL模块，每个模块各有一个导入函数。

实验二十七：在DTDebug调试中观察IAT表

我们以32位汇编版HelloWorld.exe为例，将其拖入DTDebug调试器，按Ctrl+F9进入程序入口地址，然后在内存窗口按Ctrl+G，输入0x00042000，将地址跳转到.rdata节区。如图4-3所示：

图4-3 加载内存中的映像文件

 

总结

       仔细观察调试器反汇编窗口中的.text节区（代码段）。HelloWorld.exe程序非常简单，调用了user32.dll中的MessageBoxA函数和kernel32.dll中的ExitProcess函数。

       1．打开内存映射窗口

Memory map

Address    Size       Owner      Section    Contains        Type   Access      Initial   Mapped as

00040000  00001000   HelloWor              PE header    Imag   R         RWE

00041000  00001000  HelloWor   .text            code         Imag   R         RWE

00042000  00001000  HelloWor   .rdata                     Imag   R          RWE

00043000  00001000   HelloWor   .data       data          Imag   R         RWE

00044000  00001000   HelloWor   .reloc        relocations    Imag   R          RWE

…

74570000  00001000   user32                   PE header    Imag   R         RWE

74571000     00082000     user32     .text        code,exports  Imag   R         RWE

745F3000      00002000   user32     .data        data        Imag   R         RWE

745F5000      00008000   user32     .idata                  Imag   R         RWE

745FD000     00001000   user32     .didat                  Imag   R          RWE

745FE000      000E2000   user32     .rsrc        resources     Imag   R          RWE

746E0000      00006000   user32     .reloc       relocations    Imag   R          RWE

…

77170000       00001000       KERNEL32      PE header                Imag      R        RWE

77180000     0005F000     KERNEL32      .text       code          Imag   R E       RWE

771E0000       00027000      KERNEL32      .rdata     exports         Imag   R          RWE

77210000       00001000   KERNEL32      .data     data            Imag   RW         RWE

77220000   00001000      KERNEL32   .rsrc      resources     Imag   R            RWE

77230000   00005000      KERNEL32   .reloc     relocations   Imag   R          RWE

…

       我们需要关注以下几个地址区间：

00041000  00001000  HelloWor    .text      code         Imag   R         RWE

00042000  00001000  HelloWor    .rdata               Imag   R         RWE

74571000  00082000   user32     .text   code,exports  Imag   R         RWE

77180000  0005F000  KERNEL32   .text     code          Imag   R E       RWE

2．MessageBoxA函数

       MessageBoxA函数首先将4个参数push入栈，然后是call指令。对应的硬编码是E8 00000007，跳转7个字节，跳到地址0x0004101A，对应的汇编指令为JMP NEAR DWORD PTR DS:[42008]。注意0x00042008这个地址=0x00040000（基址）+ 2008（RVA地址）。

3．ExitProcess函数

ExitProcess函数push一个参数0，然后是call指令，硬编码为E8 00000006，跳转6个字节，跳到地址0x00041020，对应的汇编指令为JMP NEAR DWORD PTR DS:[42000]。注意0x00042000这个地址=0x00040000（基址）+ 2000（RVA地址）。

4．再观察一下内存窗口，.rdata节区地址0x00042000处的数据为0x77183BE0，就是ExitProcess函数的真实地址，刚好位于KERNEL32.dll的.text节区内。.rdata节区地址0x00042008处的数据为0x745DFDB0，就是MessageBoxA函数的真实地址，刚好位于user32.dll的.text节区内。

00042000  E0 3B 18 77 00 00 00 00 B0 FD 5D 74 00 00 00 00  ?w....褒]t....

0004101A       $- FF25 08200400  JMP NEAR DWORD PTR DS:[42008];  user32.MessageBoxA

00041020       .- FF25 00200400   JMP NEAR DWORD PTR DS:[42000];  KERNEL32.ExitProcess

因此上面的两条反汇编语句跳转的地址就是IAT函数地址表中替换后的真实导入函数地址。请读者单步执行上述两条JMP指令，观察一下跳转的函数入口地址。

       5．对照一下WinHex内HelloWorld.exe程序.rdata节区内的IAT表

00000600   42 21 00 00 00 00 00 00  28 21 00 00 00 00 00 00   B!......(!......

FOA文件偏移地址00000600对应的VA地址就是0x00042000，ExitProcess函数的RVA地址00002142H在加载到内存时被替换为真实的导入函数地址0x77183BE0。

FOA文件偏移地址00000608对应的VA地址就是0x00042008，MessageBoxA函数的RVA地址00002128H在加载到内存时被替换为真实的导入函数地址0x745DFDB0。

6．PE文件加载前后的变化如下图所示：

图4-4PE文件加载前

图4-5 PE文件加载后

练习

       请读者分别使用静态分析和动态分析的方法，分析32位和64位记事本程序的导入表和IAT表。

bcdaren
关注
专栏目录
博客
《Windows PE》4.1.4 手工重构导入表
10-05 490
【可选项】可以选择修改的字段包括导入表的大小、IAT表的大小、.text节区的实际大小、.rdata节区的实际大小和.data节区的实际大小。●手工实现，将Regedit.exe程序的代码、数据、IAT表和导入表添加到HelloWorld.exe程序中，并可以正确运行。第二步：定位副本文件中的.data节区，将Regedit.exe程序的.data节区数据写入到副本文件.data节区的结尾处。第八步：将Regedit.exe程序的.text节区数据复制到.text节区，并修正参数地址以及FF25跳转地址。
博客
《Windows PE》4.1导入表
10-03 1042
IMAGE_IMPORT_BY_NAME结构体用于描述PE文件中的导入地址表（Import Address Table，IAT）或原始未绑定导入地址表（Original Unbound Import Address Table）中，通过名称进行导入的函数的信息。然后根据导入表FOA地址，在PE文件中找到导入表描述符的起始地址，循环遍历获取导入表描述符的OriginalFirstThunk字段中保存的RVA地址，将此RVA地址转换为FOA地址，即INT表IMAGE_THUNK_DATA的起始地址。
博客
《Windows PE》3.2.4节表
10-02 1301
节表由多个节表项（IMAGE_SECTION_ HEADER）组成，每个节表项（40个字节）记录了 PE中与某个特定的节有关的信息，如节的属性、节 的大小、在文件和内存中的起始位置等。节表中节的数量由字段IMAGE_FILE_HEADER. NumberOfSections来定义。●节表项的数据结构详细定义如下：typedef struct _IMAGE_SECTION_HEADER { BYTE Name[IMAGE_SIZEOF_SHORT_NAME]; // 节区名称，8 字节 u
博客
《Windows PE》3.2.3 NT头-扩展头
10-01 1153
4．32位HelloWorld.exe（Win XP汇编版本）文件偏移地址0000013CH地址处，将默认0010H修改为0000~0010H之间的任一值，我们会发现，当数据目录项的数目大于等于2时，PE文件可以在Windows 10系统正常运行。1．32位HelloWorld.exe（Win XP汇编版本）文件偏移地址0000013CH地址处，将默认0010H修改为0000~0010H之间的任一值，我们会发现，当数据目录项的数目大于等于2时，PE文件可以在Windows 10系统正常运行。
博客
《Windows PE》3.2.3 NT头-文件头
10-01 958
原因是运行程序时，系统使用LoadString函数加载命令行参数字符串，如果第一个参数为自身的句柄，则会在当前路径或系统路径下寻找资源PE文件（没有代码的资源文件），名称为***.exe.mui。DOS块的后面接着就是NT头了。NT头包含了PE文件的各种信息，包括文件的签名、文件头和扩展头。在32位的PE文件中，Signature的值为0x00004550（或者ASCII字符"PE\0\0"），在64位的PE文件中，Signature的值同样为0x00004550（或者ASCII字符"PE\0\0"）。
博客
《Windows PE》3.2 PE头结构-DOS头和DOS块
09-30 1154
在VS中输入#include "winnt.h" ，点击右键，打开文档。然后搜索 IMAGE_DOS_HEADER 或者在程序里面输入IMAGE_DOS_HEADER 按F12转到定义。■。
博客
《Windows PE》3.1 基本概念
09-06 1374
在正式讲解PE文件格式之前，我们有必要先熟悉和PE相关的一些基本概念，以便于更好的理解和掌握PE文件格式。地址指针数据目录项节对齐方式字符串编码格式。
博客
《Windows PE》2.2.2 加载PE文件二
08-29 1009
doc .mp3 .jpg等等都是有文件格式的，我们只需要关心.exe和.dll文件格式，因为.exe和.dll文件是可执行文件格式，其他的文件是不可执行的，不能在CPU上运行的。比如： PE 它是windows下的文件格式，是MZ打头的（4D5A）只有两个字节，后面很大一片就是对这个结构体的管理，比如代码在什么位置，图像在什么位置，文字在什么位置，在前面PE头中都是有记录的。除了默认的PE头之外，每个节区都是有命名的，例如.text节区为代码段，.data节区为数据段，.rsrc节区保存资源。
博客
《Windows PE》2.2 加载PE文件一
08-26 997
如图2-8所示：我们可以通过GDTR寄存器找到GDT全局段描述符表，在GDT全局段描述符表中保存LDT1、LDT2、LDT3三个局部段描述符表的段描述符，对应的局部段描述符表的段选择子分别为Selector1、Selector2、Selector3。G=0表示界限粒度为字节（实模式下内存地址空间以字节为单位，20位段界限域可访问的地址空间就是220个字节，1MB大小），G = 1表示界限粒度是4KB（保护模式下，内存地址空间以页为单位，20位段界限域可访问的地址空间就是220*212个字节，4GB大小）。
博客
《Windows PE》2.1 初识PE文件
08-22 716
Windows PE文件（Portable Executable file）是一种可执行文件格式，用于Windows操作系统中的可执行程序、动态链接库（DLL）和驱动程序等。它是一种规范化的文件格式，定义了文件的结构和组织方式，以便操作系统能够正确加载和执行这些文件。PE文件特征和组成初识PE文件。
博客
《Windwos PE》1.3 动态调试工具
08-19 1053
在Visual Studio中调试时，大部分的功能是借助菜单或按钮实现，而Windbg调试器是建立在命令之上。用户输入一个命令，调试器用文本描述命令执行的结果给出响应。在GUI模式下，一些结果用专门的窗口进行显示，比如局部变量、栈、线程等。正是因为这种调试模式，所以Windbg调试器学习的门槛就要相对高一些，得记这些命令。■。
博客
《Windows PE》第一章 PE学习环境搭建
08-13 879
可以看出，当程序调试的时候，如果修改了 test1.asm，也就是说test1.obj的文件时间比test1.asm 要早，就需要重新执行步骤（1）和（4）。隐含规则不能有依赖文件，所以下面没有内容，例子中的第17、18行定义了从 asm文件建立obj文件的隐含规则，第19和20行定义了从rc文件建立res文件的隐含规则，隐含规则中无法指定确定的输入文件名，因为输入文件名是泛指的有相同扩展名的一整类文件，这时候就要用到几个特殊的内定宏来指定文件名，这些宏是$@，$*, $?为了能存放自己编写的汇编代码。
博客
《Windows API每日一练》24.1 WinSock简介
08-01 409
本节将逐一介绍WinSock的主要特性和组件，套接字、WinSock动态库的使用。本节必须掌握的知识点： Windows Socket接口简介 Windows Socket接口的使用 第178练：网络时间校验■以下是WinSock的主要特性和组件：●套接字（Socket）： 套接字是网络通信的基本概念，它代表了一个网络连接的端点。WinSock提供了函数来创建、绑定、连接和关闭套接字，以及发送和接收数据。●协议支持： WinSock支持多种网络协议，包括TCP/IP
博客
《Windows API每日一练》23.1 Windows多媒体
07-31 527
你可以使用预定义的命令字符串，也可以自定义命令字符串来实现特定的功能。但对于更复杂的多媒体处理，如音频编码、视频渲染等，可能需要使用更高级别的多媒体框架和API，如Media Foundation或DirectShow，这些内容本书并不涉及，有兴趣的读者可以查阅MSDN等相关资料。在这种情况下 mciSendString函数会立即返回，但是，当MCI命令中指定的操作结束后， mciSendString的最后一个参数所指定的句柄代表的窗口将收到一条MM_MCINOTIFY消 息。这就是所谓的“CD音频“。
博客
《Windows API每日一练》22.3 SHE异常
07-30 654
lpSEH参数指向注册回调函数时使用的EXCEPTION_REGISTRATION结构的地址，在例子程序中，它的值就是我们在堆栈中构造的这个结构的地址，这个参数 看上去似乎没有什么用处，例子程序中也确实没有用到它，但是如果希望异常处理程序能 够被封装在子程序里面的话，这个参数就是不可缺少的，因为使用它可以避免使用全局变量在模块和回调函数之间传递数据，在接下来的内容中读者会了解到如何做到这一点。发生异常时，由异常回调函数接管异常，处理异常后继续执行异常发生后的下一条指令。
博客
《Windows API每日一练》21.2 执行可执行程序
07-29 769
因此，应该谨慎使用，避免对正在运行的进程造成不可预料的结果。TerminateProcess函数不是一个推荐使用的函数，一般仅在很极端的情况下使用（如任务管理器用来结束停止响应的进程），因为它将目标进程无条件结束，被结束的进程根本 没有机会进行扫尾工作，同时，目标进程使用的dll文件也不会收到结束通知，所以极有 可能造成数据丢失。当某个进程创建了一个新的进程的时候，被创建的进程称为“子进程”，创建它的进程称为“父进程”，子进程可以从父进程那里继承环境变量以及其他一些对象，在子进程中可以继续创建“孙进程”。
博客
《Windows API每日一练》20.1 动态链接库
07-28 1058
在应用程序中，可以使用动态链接库的函数和资源，通过加载 DLL 文件并调用其中的导出函数来实现。链接器将根据.def文件中的导出列表来生成DLL，并确保这些函数和符号在DLL中是可见和可调用的。但使用.def文件可以提供更精确的控制，例如指定导出函数的名称和序号（C\C++引用动态链接库时，将.def文件包含在了头文件中）。是用以确保函数名称被添加到EDRLIB.LIB中的关键字而已(使得链接器在链接使用这些函数的应用程序时可以正确解析该函数名)，并且用于确保这些函数在EDRLIB.DLL中可见。
博客
《Windows API每日一练》19.2 Windows多线程
07-27 871
这个窗口过程很简单.。在处理WM_CREATE消息时，它设定该结构的hwnd和cyChar字段，调用_beginthread函数创立一个使用Threadl函数的新线程并且传递给新线程一个指向该PARAMS结构的指针。这个实现看起来很好：如果一个程序在花很长时间处理一条消息，那么当鼠标在该程序的窗口上时，鼠标指针会显示为沙漏，而当它在另一个程序的窗口上时，就变成正常的箭头了。在主线程中，我们创建一个新的线程，等待线程结束后，使用GetExitCodeThread函数获取线程的退出代码，并将其打印出来。
博客
《Windows API每日一练》第十八章 多文档界面
07-26 1285
在WM_MDIACTIVATE消息中，wParam和lParam的值分别是将变成非活动窗口和活动窗口的窗口句柄。框架窗口可以向客户窗口发送这个消息来激活某个子窗口，而客户窗口既会把这个消息发送给被激活的子窗口，也会发送给从活动状态进入后台的那个子窗口，来通知它们这个变化。在子文档窗口的WM_CREATE消息中，lParam是指向CREATESTRUCT结构的指计，而这个结构的 lpCreateParams字段是一个指向用来创建窗口的MDICREATESTRUCT结构的指针。”的文档窗口相联系的。
博客
《Windows API每日一练》16.1 简单的文本输出
07-25 615
3．第3个Tab开始的位置应为10+（8的倍数），即18、26、34、42或50等，但因8、18、26、34、42处要么被字符占用，要么被以前的两个Tab占用，所以第3个Tab从50开始，然后输出h字符。3．第3个Tab开始的位置应为8的倍数，即8、16、24、32或40等，但因8、16、24、32处要么被字符占用，要么被以前的两个Tab占用，所以第3个Tab从40开始，然后输出h字符。2．第2个Tab为16（2*字符宽度的8倍）的位置（即刻度16）处开始，由于字符数不够，得再补充6个空格字符。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值