PE总结10---PE文件结构之导入表 （IMAGE_IMPORT_DESCRIPTOR）

输入函数就是被程序调用但其执行代码又不在程序中的函数，这些函数的代码位于相关的 DLL 文件中，在调用者程序中只保留相关的函数信息（如函数名、DLL 文件名等）就可以。对于磁盘上的PE 文件来说，它无法得知这些输入函数在内存中的地址，只有当PE 文件被装入内存后，Windows 加载器才将相关DLL 装入，并将调用输入函数的指令和函数实际所处的地址联系起来。这就是“动态链接”的概念。动态链接是通过PE 文件中定义的“输入表”来完成的，输入表中保存的正是函数名和其驻留的DLL 名等。

1、导入表基址是PE文件从其他三方程序中导入API，以供本程序调用的机制

2、是分析PE文件的最好的切入点

IMAGE_IMPORT_DESCRIPTOR只是一个引导的角色，引导系统找到真正保存有导入信息的其他两个结构：
 IMAGE_THUNK_DATA
 IMAGE_IMPORT_BY_NAME

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics;
DWORD OriginalFirstThunk;//指向输入名称表的表（INT）的RVA
};
DWORD TimeDateStamp;
DWORD ForwarderChain;
DWORD Name;//指向导入映像文件的名称
DWORD FirstThunk;//指向输入地址表的表（IAT）的RVA


} IMAGE_IMPORT_DESCRIPTOR;


typedef struct _IMAGE_THUNK_DATA32 {
    union {
        PBYTE  ForwarderString;