PE头、IAT总结（找到PE文件DLL的某个导入函数字符串地址）——《逆向分析核心原理》读书笔记

最新推荐文章于 2022-08-22 21:20:44 发布
VIP文章 最新推荐文章于 2022-08-22 21:20:44 发布
阅读量1.1k 收藏 7
点赞数 3
分类专栏： PE文件结构 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41170946/article/details/104132629
版权

在这里插入图片描述上图总结了PE的基本结构和IAT的概念，下面进行详细说明

打开PEVIEW
在这里插入图片描述

一、找到IDT起始地址

先找到可选头的IMPORT Table地址

在这里插入图片描述
可以看到地址是84CC(RVA)

二、找到IDT数组的第一个元素，即第一个IID结构体

找到84CC（RVA）地址

最低0.47元/天 解锁文章
zakyi
关注
  • 3
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
原创易语言版_EXE分析器[PE解析]_可分析DLL函数_导入函数_分析软件三大头_移动表-易语言
06-11
版_EXE分析器[PE解析]_可分析DLL函数_导入函数_分析软件三大头_移动表 a.可分进程shuj: 1.进程列表 2.进程模块 模块名 模块句柄 模块基址 模块大小 模块路径 3.通过特征码扫描易语言的程序 b.移动EXE文件到分析器...
PE解析器的编写（四）——数据目录表的解析
Masimaro的专栏
05-08 1806
在PE结构中最重要的就是区块表和数据目录表，上节已经说明了如何解析区块表，下面就是数据目录表，在数据目录表中一般只关心导入表，导出表和资源这几个部分，但是资源实在是太复杂了，而且在一般的病毒木马中也不会存在资源，所以在这个工具中只是简单的解析了一下导出表和导出表。这节主要说明导入表，下节来说导出表。 RVA到fRva的转化 RVA转化为fRva主要是通过某个数据在内存中的相对偏移地址找到其在文
易语言远程取X64位函数地址
hzw320的博客
07-22 3682
目前网上 虽然易语言可以通过一定方法获取和调用到64位进程里的一些Api函数来对64位进程进行内存读写， 但是那些也仅限于ntdll.dll里面的函数而已，对64位程序里的其他64位dll，无法获取函数地址。 也就易语言从而无法方便的进远程HOOK。 所以今天我就给大家带来了，我新开发的一个功能，x64进程_取AP地址（） 这个函数用途非常广泛，作用非常大，它可以远程获取指定64位游戏进程里的指定系统dll的API函数入口地址的。 通俗点说就是有了它后，将相当于为易语言对64位进程函数动态HOOK的大门，
WINDOWS+PE权威指南读书笔记(6)
沐一 · 林 的博客
10-07 140
目录 导入函数地址表：(IAT) 导入表双桥结构应用举例： 导入函数地址表：(IAT) PE 文件中所有导入函数 jmp 指令操作数的集合，组成了另外一个数据结构，这个结构就是导入函数地址表(Import Address Table，IAT)。该地址表是数据目录的第13 个数据目录项。 导入函数地址表是一个双字的数组，每个双字代表的是一个导入函数的VA，该地址称为导入函数地址(Import Address，IA)。用户程序通过无条件跳转指令JMP跳转到 VA 指定处. 由于 IAT中定义
STM32CUBEMX SYSTICK us延时
hqy450665101的博客
11-07 1581
STM32CUBEMX SYSTICK HAL库中systick定时器默认1Khz 即1ms 所以HAL_Delay（）是ms延时 main函数开始会调用HAL_Init（）函数 HAL_Init（）函数中调用HAL_InitTick(TICK_INT_PRIORITY） HAL_InitTick（）函数中调用 HAL_SYSTICK_Config(SystemCoreClock / (1000UL / (uint32_t)uwTickFreq)设置为1ms进一次中断 只需要使用HAL_SYSTICK_Co
动态加载技术
include的博客
04-16 4782
动态加载技术 动态加载技术可以让程序设计者脱离复杂的导入表结构，在程序空间中构造类似于导入表的调用引入函数机制。 Windows虚拟地址空间分配 在32位的机器上，地址空间从0x00000000~ 0xFFFFFFFF,总大小为4GB。一般而言，低地址空间，从0x00000000~ 0x7FFFFFFF使用户空间，高地址空间被分配给系统。 虚拟内存范围 功能 0x00000000 ......
IATHOOK 易语言 还有PE文件格式解析 导入表 导出表
01-20
适合小白练习
HOOK-IAT.rar_IAT_iat hook_pe iat_pe 入口点hook_入口点
09-24
通过分析PE文件格式，修改函数入口点，实现IAT HOOK
通过修改DLL文件的IAT表(函数导入表)来实现api hook的源码
03-28
一个通过修改DLL文件的IAT表来实现的hook开发包源码
PE工具 IATRebulid-V1.02 IAT 重建工具
03-16
[PE工具] IATRebulid_V1.02 IAT 重建工具，脱壳修复
ImportRECv1.7 IAT修复工具1.7版
01-15
比较新版的ImportREC ，用过的人都知道，修复PE文件和IAT表的重要工具
获取动态库中Windows API的地址(以ntdll.dll为例子)
南七行者的博客
12-23 1470
一、任务 打印Windows 2003中ntdll.dll的所有函数名及其地址。 二、流程 1.获取ntdll.dll的基址 (1)汇编代码 unsigned long addr; __asm{ mov eax, fs:30h; mov eax, [eax+0ch]; mov ebx, [eax+1ch]; mov eax, [ebx+8]; mov addr, eax; }; (2)解读 ①mov eax,
DLL详解（上）
weixin_42703404的博客
04-26 786
DLL的两种调用方法 隐式调用： #pragma comment(lib,"Dll.lib") //dll的名称 //也可以在项目属性中设置相应属性 //1. 在生成dll的项目中，属性->常规->输出目录：改为测试文件（.cpp）所在的目录 //2. 然后在测试程序中，vc++目录->包含目录，增加（dll头文件的名称）.h文件所在的目录处 // 在链接器-&gt...
C#调用C++类库dll，无法找到函数入口（无法在“***.dll“中找到名为“***“的入口点）
王小波门下走狗
01-13 9427
问题： 在使用C#的DllImport调用C++编写的类库dll时候，出现找不到函数入口点。 C++的dll函数名 #ifdef DLLCLASS_EXPORT #define EXT_CLASS __declspec(dllexport) #else #define EXT_CLASS _declspec(dllimport) #endif extern "C" EXT_CLASS class CBaseInterface { public: virtual int SetPara.
什么是动态链接库DLL？以及DLL所需要的三个函数详解（LoadLibrary,GetProcAddress,FreeLibrary）
weixin_36711901的博客
01-27 1581
一、DLL的概念 DLL(Dynamic Link Library)，动态链接库文件，又称“应用程序拓展”，是软件文件类型，扩展名是“.dll”。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一个程序时，相应的DLL文件就会被调用。例如：kernel32.dll中含有LoadLibrary(...
实战dll注入(原理, 踩坑及排雷)
Niatruc的博客
08-22 3708
使用vs2019编写注入器程序, 在生成的注入器可用前, 踩了不少坑, 因此记录一下.
PE文件学习笔记（五）：导入表、IAT、绑定导入表解析
热门推荐
Apollon_krj的博客
08-19 1万+
1、导入表（Import Descriptor）结构解析：导入表是记录PE文件中用到的动态连接库的集合，一个dll库在导入表中占用一个元素信息的位置，这个元素描述了该导入dll的具体信息。如dll的最新修改时间、dll中函数的名字/序号、dll加载后的函数地址等。而一个元素即一个结构体，一个导入表即该结构体的数组，其结构体如下所示：typedef struct _IMAGE_IMPORT_DESCR
PE文件解析--导入函数节.rdata
凌阳的博客
06-08 2356
讲导入函数节，就必须介绍一下Datadirectory：Datadirectory放在可选文件头optional_header里面，有16个项，每项8字节，里面存放的是每个导入函数节，导出函数节等节的信息。可选文件头optional_header： 例如：14 20 00 00 3c 00 00 00前4位：代表该节的RVA，14 20 00 00RVA=0002014后4位：代表该节的大小，0x0000003c=60下面按rdata中存放的顺序介绍，注意此表中的地址是文件地址：其RVA（内存）=0x000
《逆向工程核心原理》学习笔记5 PE文件学习——PE头核心IAT,EAT
EloflyS的博客
02-19 593
《逆向工程核心原理》学习笔记5 PE头核心——IAT,EAT 1.IAT——导入地址表 用于记录程序正在使用哪些库的哪些函数的表格。
pe文件中的引入函数表在什么位置
最新发布
08-20
导入表项中的外部函数名称是通过字符串表索引来引用的，而外部函数地址是通过在导入地址表（IAT）中分配一个位置来引用的。 通过解析PE文件中的导入表，程序可以知道需要哪些外部函数库，以及这些外部函数库中的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值