dbeaver导出表结构_干货分享丨表哥带你学习导入表及导入表注入

最新推荐文章于 2024-01-29 23:10:53 发布
最新推荐文章于 2024-01-29 23:10:53 发布
阅读量591 收藏 1
点赞数
文章标签： dbeaver导出表结构

今天的文章分享是 i 春秋作者flag0原创的文章，浅析导入表及导入表注入的相关内容，文章篇幅较长，阅读时长约15分钟，文章未经许可禁止转载！

f3bd79b408d8c4b10bcbd433c375ddf7.png

导入表的概述

导入表是逆向和病毒分析中比较重要的一个表，在分析病毒时几乎第一时间都要看一下程序导入表的内容，判断程序大概用了哪些功能。

导入表位于数据目录项中的第二项，一般会有多个，每调用一个DLL便存在一张导入表，导入表记录了导入的dll中被调用的函数地址。

导入表结构体 IMAGE_IMPORT_DESCRIPTOR

typedef struct _IMAGE_IMPORT_DESCRIPTOR{    union{        DWORD Characteristics;        DWORD OriginalFirstThunk;    };    DWORD TimeDataStamp;    DWORD ForwarderChain;    DWORD Name;    DWORD FirstThunk;} IMAGE_IMPORT_DESCRIPTOR;typedef IMAGE_IMPORT_DESCRIPTOR UNALGNED *PIMAGE_IMPORT_DESCRIPTOR;
  • OriginalFirstThunk 指向导入名称表INT(Import Name Table)的RVA，INT是IMAGE_THUNK_DATA结构的数组，以内容为0的IMAGE_THUNK_DATA结构结束，每个IMAGE_THUNK_DATA指向IMAGE_IMPORT_BY_NAME结构。
  • TimeDataStamp 时间戳，当其值为-1时，采用绑定导入技术进行加载。
  • Name，指向存储函数名字的RVA。
  • FirstThunk 指向导入地址表IAT(Import Address Table)的RVA，IAT与INT结构相同，也是一个IMAGE_THUNK_DATA结构的数组。

导入绑定技术

一般情况下，在程序加载前IAT表和INT表中的内容相同，都是程序引用的dll中的函数名或序号，加载完成后IAT表中将替换为函数的真正地址。

但在加载前IAT表中直接写绝对地址是可以实现的，并且具有启动速度快的优点，但是如果在dll重定位时，没能占据自身ImageBase处的地址，则需要修复绝对地址，当dll被修改时，IAT表中对应的函数地址可能被改，需要修复函数地址。

这种方式被称为绑定导入，在Windows自带的记事本中，就采用了这种方式。

IMAGE_THUNK_DATA

typedef struct _IMAGE_THUNK_DATA32 {                                        union {                                         PBYTE  ForwarderString;                                         PDWORD Function;                                            DWORD Ordinal;                 PIMAGE_IMPORT_BY_NAME  AddressOfData;    } u1;                                   } IMAGE_THUNK_DATA32;                                   typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;
  • Ordinal 被导入的API的序号值
  • AddressOfData 指向IMAGE_IMPORT_BY_NAME的RVA

当IMAGE_THUNK_DATA值的最高位为1时，表示函数以序号方式导入，这时低31位被看做一个函数序号，当对号为0时，表示函数以字符串类型的函数名方式输入，这时双字的值是一个RVA，指向一个IMAGE_IMPORT_BY_NAME结构。

IMAGE_IMPORT_BY_NAME

存储了一个输入函数的相关信息

typedef struct _IMAGE_IMPORT_BY_NAME {    WORD    Hint;          BYTE    Name[1];                           } IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
  • Hint 记录了函数在DLL的导出表中的序号，不是必须的，可以为空。
  • Name 输入函数的函数名，是一个字符串以0结尾。

导入地址表IAT

IAT由PE装载器重写，PE装载器先搜索OriginalFirstThunk指向的INT表，如果找到，则遍历数组，找出每个IMAGE_IMPORT_BY_NAME结构所指向的输入函数的地址，加载器用函数真正的日寇地址代替由FirstThunk指向的IMAGE_THUNK_DATA数组里元素的值。

在加载前，非导入绑定情况下，INT表与IAT表中的内容是一样的。

6c3eeb5721c2eb4fa8d2bda95fc76765.png

PE文件加载后，IAT表被替换为函数的入口地址。

b60c78a1f3d2ea7f4acfd13ff0175b35.png

在加载前，可以看到：

FirstThunkFOA(23280)->IMAGE_THUNK_DATA32(0242BC)->IMAGE_IMPORT_BY_NAME(232B0)->Name="MessageBoxA"

18ecc6811a010cd767168a66a1508745.png

在加载后的内存中，可以看到：

FirstThunkFOA(42428C)->IMAGE_THUNK_DATA32(77D5050B)函数地址

65d0f7598dd55d1e854a68ee1fe09b24.png

打印输出导入表

定位导入表

获得数据目录项第二项中的VirtualAddress 将其RVA转为FOA，用以定位到导入表结构，将导入表结构中的DWORD Name打印输出，即定位导入表，打印DLL名。

遍历INT表

通过导入表中的OriginalFirstThunk定义到INT表，以此判断IMAGE_THUNK_DATA数组的最高位是否为1，如果为1则按到导出序号导出，如果为0则其指向IMAGE_IMPORT_BY_NAME的RVA，将其转换成FOA，定位到IMAGE_IMPORT_BY_NAME，输出函数名字，依次遍历，直到数组结尾。

遍历IAT表

通过导入表中的FirstThunk定义到IAT表，余下方法同上。

实现代码

// PrintImport.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include "stdlib.h"#include "windows.h"size_t FileLength(FILE *fp){    size_t num;    fseek(fp,0,SEEK_END);//将文件指针移动到文件尾部    num = ftell(fp);//获取文件指针的当前位置    fseek(fp,0,SEEK_SET);    return num;}LPVOID readFile(PCHAR path)//将文件中的数据读取到内存中{    FILE* fp;    size_t len;    LPVOID pFileBuffer;    fp = fopen(path,"rb");    if(fp == NULL)    {        printf("error");    }    len = FileLength(fp);//获取文件大小    pFileBuffer = (LPVOID)malloc(len);//申请动态内存    fread(pFileBuffer,len,1,fp);    fclose(fp);    return pFileBuffer;}DWORD RVATOFOA(DWORD RVA,LPVOID pFileBuffer){    DWORD FOA = NULL;    PIMAGE_DOS_HEADER pDosHeader = NULL;    PIMAGE_NT_HEADERS pNtHeaders = NULL;    PIMAGE_FILE_HEADER pFileHeader = NULL;    PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;    PIMAGE_SECTION_HEADER pSectionHeader = NULL;    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;    pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4);    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);    pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);    if(RVA <= pOptionalHeader->SizeOfHeaders)        return RVA;    //此处不需要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行    for(;RVA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节    FOA = RVA - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;    return FOA;}DWORD FOATORVA(DWORD FOA,LPVOID pFileBuffer){    DWORD RVA = NULL;    PIMAGE_DOS_HEADER pDosHeader = NULL;    PIMAGE_NT_HEADERS pNtHeaders = NULL;    PIMAGE_FILE_HEADER pFileHeader = NULL;    PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;    PIMAGE_SECTION_HEADER pSectionHeader = NULL;    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;    pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4);    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);    pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);    if(FOA <= pOptionalHeader->SizeOfHeaders)        return FOA;    //此处不需要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行    for(;FOA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节    RVA = FOA - pSectionHeader->PointerToRawData + pSectionHeader->VirtualAddress ;    return RVA;}VOID PrintImport(LPVOID pFileBuffer){    PIMAGE_DOS_HEADER pDosHeader = NULL;//DOS头    PIMAGE_NT_HEADERS pNtHeaders = NULL;//NT头    PIMAGE_FILE_HEADER pFileHeader = NULL;//标准PE头    PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;//拓展PE头    PIMAGE_SECTION_HEADER pSectionHeader = NULL;//节表    PIMAGE_SECTION_HEADER pNewSec = NULL;//新节表结构    PIMAGE_EXPORT_DIRECTORY pExportDirectory = NULL; //导出表结构体    PIMAGE_IMPORT_DESCRIPTOR pImportDescriptop = NULL;//导入表结构体    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;    pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4);    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);    //定位导入表地址    DWORD offsetImportFoa = RVATOFOA(pOptionalHeader->DataDirectory[1].VirtualAddress,pFileBuffer);    //printf();    pImportDescriptop = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)pFileBuffer + offsetImportFoa);    while(pImportDescriptop->Name != NULL && pImportDescriptop->OriginalFirstThunk != NULL && pImportDescriptop->FirstThunk != NULL)    {        DWORD offsetDllNameFoa = RVATOFOA(pImportDescriptop->Name,pFileBuffer);        PCHAR DllName = (PCHAR)((DWORD)pFileBuffer + offsetDllNameFoa);        printf("DLLName:%s ",DllName);        printf("OriginalFirstThunk:%x",pImportDescriptop->OriginalFirstThunk);        DWORD offsetThunkFOA = RVATOFOA(pImportDescriptop->OriginalFirstThunk,pFileBuffer);        PDWORD ImageThunk = (PDWORD)((DWORD)pFileBuffer + offsetThunkFOA);        printf("======INT======");        while(*ImageThunk != 0x0000)        {            printf("ThunkValue:%x  ",*ImageThunk);            PIMAGE_IMPORT_BY_NAME IBName = NULL;            try{                if(*ImageThunk & 0x80000000)                {                    printf("按序号导出:%x",*ImageThunk & 0x7FFFFFFF);                }else                {                    DWORD IBNameFoa = RVATOFOA(*ImageThunk,pFileBuffer);                    IBName = (PIMAGE_IMPORT_BY_NAME)((DWORD)pFileBuffer+IBNameFoa);                    printf("Hit Name:%x-%s",IBName->Hint,IBName->Name);                }                ImageThunk++;            }catch(...)            {                printf("");                ImageThunk++;            }        }        printf("======IAT======");        DWORD FirstThunkFOA = RVATOFOA(pImportDescriptop->FirstThunk,pFileBuffer);        ImageThunk = (PDWORD)((DWORD)pFileBuffer + FirstThunkFOA);        while(*ImageThunk != 0x0000)        {            printf("ThunkValue:%x  ",*ImageThunk);            PIMAGE_IMPORT_BY_NAME IBName = NULL;            try{                if(*ImageThunk & 0x80000000)                {                    printf("按序号导出:%x",*ImageThunk & 0x7FFFFFFF);                }else                {                    DWORD IBNameFoa = RVATOFOA(*ImageThunk,pFileBuffer);                    IBName = (PIMAGE_IMPORT_BY_NAME)((DWORD)pFileBuffer+IBNameFoa);                    printf("Hit Name:%x-%s",IBName->Hint,IBName->Name);                }                ImageThunk++;            }catch(...)            {                printf("");                ImageThunk++;            }        }        pImportDescriptop++;    }}int main(int argc, char* argv[]){    LPVOID pFileBuffer = NULL;    LPVOID pNewSecFoa = NULL;    PCHAR path = "C:飞鸽传书.exe.";    pFileBuffer = readFile(path);    PrintImport(pFileBuffer);    system("pause");    return 0;}

导入表注入

工具及运行环境：

  • 用于实验的程序：飞鸽传书
  • dll文件
  • Uedit编辑器
  • LoadPE
  • 实验环境：Windows Xp

实验程序下载：

链接：

https://pan.baidu.com/s/1pWWsqkLb_hjF7ksfnMkqeQ

提取码：x5b7

原理

当exe被加载时，系统会根据exe导入表信息来加载需要用到的DLL，导入表注入的原理就是修改exe导入表，将自己的DLL添加到exe的导入表中，这样exe运行时可以将自己的DLL加载到exe的进程空间。

实现步骤

1、新增节表用来存储移动后的导入表(这里也可以扩大节，或者是找节区的空白区)；

2、根据目录项(第二个值就是导入表)得到导入表的VirtualAddress和Size；

3、将VirtualAddress RVA转FOA 定位到导入表；

4、将原导入表全部Copy到空白区(只需要移动原导入表，不需要改变OriginalFirstThunk和FirstThunk)；

5、在新的导入表后面，追加一个导入表；

6、在原导入表IID所在的内存空间，追加8个字节的INT表，8个字节的IAT表，追加一个IMAGE_IMPORT_BY_NAME 结构，前2个字节是0 后面是函数名称字符串；

7、将IMAGE_IMPORT_BY_NAME结构的RVA赋值给INT和IAT表中的第一项，并修正导入表的OriginalFirstThunk和FirstThunk；

8、分配空间存储DLL名称字符串 并将该字符串的RVA赋值给Name属性；

9、修正IMAGE_DATA_DIRECTORY结构的VirtualAddress和Size。

手动实现

1、根据目录项，得到导入表的VritualAddress为01CE80，RVA->FOA = 1CE80

cfe1392e350f3c83b55a8ab6ab27aa10.png

2、定位到导入表

e81435bc4ff6df5c11b7295d0b9da541.png

导入表的大小为1cf48 - 1ce80 = 0xC8 = 200

3、寻找代码空白区

我们需要寻找一个空间大小>240字节的空白区[原先的导入表(200) + 新增导入表(20) + 结束符(20)]

ce12685f258fd9ec465b3a949dba6db2.png

节区的代码空白区大小 = SizeofRawData - VirtualSize

.text节满足我们的要求，我们定位到代码空白区

e13dff7f06e39e624f638963c2919757.png

4、将原导入表复制到空白区

将原导入表复制到1a730处

d87c83cf390202d9c4eaae3f1a308f8f.png

从后面的空白处开始删除200个字节(因为复制粘贴并不是覆盖原来的，而是新增了200个字节，并将原来的字节向后填充)。

185b9da8da6566f359a083d508ed5657.png

5、在新的导入表后，追加一个导入表。

即从1a7f8开始，将20个字节修改为FFFFFFFF 00000000 00000000 FFFFFFFF FFFFFFFF，已备后续修改。

对应如下：

51868f5ccbaf1f2abb96f44df02e6594.png

6、追加一个IMAGE_IMPORT_BY_NAME结构，前2个字节是0后面是函数名称字符串。

原导入表的位置为1ce80，在原导入表所在的内存空间，追加8个字节的INT表，8个字节的IAT表。

2df0897bc98698ddd00032e50a581ec6.png

7、将IMAGE_IMPORT_BY_NAME结构的RVA赋值给INT和IAT表中的第一项。

IMAGE_IMPORT_BY_NAME的FOA地址为1ce90，转换成RVA为1ce90。

转换为小端显示：90 ce 01 00，将其填充到INT表和IAT表中。

6ef3114c2893683477891981d5a5169a.png

修正导入表的OriginalFirstThunk

INT的FOA地址为：01ce80 RVA为01ce80，转换成小端显示为，80 CE 01 00修正OriginalFirstThunk。

952fc1f8e457ac57f4c7decb65991e6f.png

IAT的FOA地址为：01ce88 RVA为01ce88，转换成小端显示为，88 CE 01 00修正FirstThunk。

83adc9dcfb196ae08a4f1dba77eb6881.png

8、分配空间存储DLL名称字符串，并将该字符串的RVA赋值给Name属性。

在新增的IMAGE_IMPORT_BY_NAME后(地址为1cea1)，追加DLL名称字符串。

db772866808b66fe6fc5f936b2b7ab8f.png

1cea1 FOA转换为RVA 1cea1，转换成小端显示A1 CE 01 00，修正导入表Name。

cf55b50a86f11d9f0c0bd3714a44cd08.png

9、修正IMAGE_DATA_DIRECTORY结构的VirtualAddress和Size。

Size=DC+0x14(新增了一个导入表)

VirtualAddress = FOA：1A730转换为RVA为1A730转换成小端显示：30 A7 01 00

修正VirtualAddress 和Size：

9aca8d8d73bfc747704af7754f052f46.png

将InjectDll.dll放到与被修改的程序同一目录下，运行程序。

d1c16982ca02d107176cac87d3ce9a9c.png

成功弹出弹窗！

代码实现：
// ImportInject.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include "stdlib.h"#include "windows.h"size_t FileLength(FILE *fp){    size_t num;    fseek(fp,0,SEEK_END);//将文件指针移动到文件尾部    num = ftell(fp);//获取文件指针的当前位置    fseek(fp,0,SEEK_SET);    return num;}LPVOID readFile(PCHAR path)//将文件中的数据读取到内存中{    FILE* fp;    size_t len;    LPVOID pFileBuffer;    fp = fopen(path,"rb");    if(fp == NULL)    {        printf("error");    }    len = FileLength(fp);//获取文件大小    pFileBuffer = (LPVOID)malloc(len);//申请动态内存    fread(pFileBuffer,len,1,fp);    fclose(fp);    return pFileBuffer;}DWORD RVATOFOA(DWORD RVA,LPVOID pFileBuffer){    DWORD FOA = NULL;    PIMAGE_DOS_HEADER pDosHeader = NULL;    PIMAGE_NT_HEADERS pNtHeaders = NULL;    PIMAGE_FILE_HEADER pFileHeader = NULL;    PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;    PIMAGE_SECTION_HEADER pSectionHeader = NULL;    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;    pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4);    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);    pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);    if(RVA <= pOptionalHeader->SizeOfHeaders)        return RVA;    //此处不需要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行    for(;RVA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节    FOA = RVA - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;    return FOA;}DWORD FOATORVA(DWORD FOA,LPVOID pFileBuffer){    DWORD RVA = NULL;    PIMAGE_DOS_HEADER pDosHeader = NULL;    PIMAGE_NT_HEADERS pNtHeaders = NULL;    PIMAGE_FILE_HEADER pFileHeader = NULL;    PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;    PIMAGE_SECTION_HEADER pSectionHeader = NULL;    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;    pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4);    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);    pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);    if(FOA <= pOptionalHeader->SizeOfHeaders)        return FOA;    //此处不需要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行    for(;FOA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节    RVA = FOA - pSectionHeader->PointerToRawData + pSectionHeader->VirtualAddress ;    return RVA;}BOOL ImportInject(LPVOID pFileBuffer,PCHAR pInjectDllName,PCHAR pImportFunName)//Inject{    PIMAGE_DOS_HEADER pDosHeader = NULL;//DOS头    PIMAGE_NT_HEADERS pNtHeaders = NULL;//NT头    PIMAGE_FILE_HEADER pFileHeader = NULL;//标准PE头    PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;//拓展PE头    PIMAGE_SECTION_HEADER pSectionHeader = NULL;//节表    PIMAGE_SECTION_HEADER pNewSec = NULL;//新节表结构    pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;    pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4);    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);    pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);    //判断是否有足够的空间添加节表    if ((pOptionalHeader->SizeOfHeaders - ((DWORD)pSectionHeader - (DWORD)pFileBuffer + pFileHeader->NumberOfSections * 40)) < 80)    {        printf("空间不足");        return false;    }    //新增节表结构    pNewSec = (PIMAGE_SECTION_HEADER)(pSectionHeader + pFileHeader->NumberOfSections);    //修改节表内容    memcpy(pNewSec->Name,".export",8);//修改节表名    PIMAGE_SECTION_HEADER upSecHeader = (PIMAGE_SECTION_HEADER)(pSectionHeader + pFileHeader->NumberOfSections-1);    if(upSecHeader->Misc.VirtualSize > upSecHeader->SizeOfRawData)//修改节表VrituallAddress    {        pNewSec->VirtualAddress = upSecHeader->VirtualAddress + upSecHeader->Misc.VirtualSize;    }else{        pNewSec->VirtualAddress = upSecHeader->VirtualAddress + upSecHeader->SizeOfRawData;    }    pNewSec->SizeOfRawData = 0x1000;//新增的节区的大小    pNewSec->PointerToRawData = upSecHeader->PointerToRawData + upSecHeader->SizeOfRawData;//文件中的偏移    pNewSec->Characteristics = 0x60000020;//修改属性(可执行)    //在新增节表后增加40个字节的空白区    memset((LPVOID)(pNewSec+1), 0, sizeof(*pNewSec));    //修改NT头属性    pFileHeader->NumberOfSections += 1;//修改NumberOfSection数量    pOptionalHeader->SizeOfImage += 0x1000;//修改SizeOfImage大小    LPVOID NewBuffer = malloc(pOptionalHeader->SizeOfImage);//申请内存    memset(NewBuffer, 0, pOptionalHeader->SizeOfImage);//初始化内存    memcpy(NewBuffer, pFileBuffer,pOptionalHeader->SizeOfImage);//复制内存    //定位导入表    DWORD ImportDescrFOA = RVATOFOA(pOptionalHeader->DataDirectory[1].VirtualAddress,pFileBuffer);    PIMAGE_IMPORT_DESCRIPTOR ImportDescr = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)NewBuffer + ImportDescrFOA);    LPVOID pNewSecAddr = (LPVOID)((DWORD)NewBuffer+pNewSec->PointerToRawData);    memcpy(pNewSecAddr,ImportDescr,pOptionalHeader->DataDirectory[1].Size);//复制导入表    //添加新的导入表    PIMAGE_IMPORT_DESCRIPTOR NewImport = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)NewBuffer + pNewSec->PointerToRawData + pOptionalHeader->DataDirectory[1].Size - sizeof(*NewImport));//新的导入表    //添加INT、IAT、Name    PIMAGE_THUNK_DATA NewINT = (PIMAGE_THUNK_DATA)((DWORD)NewBuffer + ImportDescrFOA);    PIMAGE_THUNK_DATA NewIAT = (PIMAGE_THUNK_DATA)((DWORD)NewBuffer + ImportDescrFOA + 0x8);    PCHAR NewDllName = (PCHAR)((DWORD)NewBuffer + ImportDescrFOA + 0x8 + 0x8);    memcpy(NewDllName,pInjectDllName,strlen(pInjectDllName)+0x1);//Dll名    PIMAGE_IMPORT_BY_NAME NewName = (PIMAGE_IMPORT_BY_NAME)((DWORD)NewBuffer + ImportDescrFOA + 0x8 + 0x8 + strlen(pInjectDllName)+0x1);    NewName->Hint = 0x0;    memcpy(NewName->Name,pImportFunName,strlen(pImportFunName)+1);//导出函数名    memset(NewINT, 0, 0xf);//清空原有数据    NewINT->u1.AddressOfData = (PIMAGE_IMPORT_BY_NAME)FOATORVA((DWORD)(ImportDescrFOA + 0x8 + 0x8 + strlen(pInjectDllName)+0x1),NewBuffer);    NewIAT->u1.AddressOfData = (PIMAGE_IMPORT_BY_NAME)FOATORVA((DWORD)(ImportDescrFOA + 0x8 + 0x8 + strlen(pInjectDllName)+0x1),NewBuffer);    //修正新增加的导入表    NewImport->OriginalFirstThunk = FOATORVA(ImportDescrFOA,NewBuffer);    NewImport->FirstThunk = FOATORVA(ImportDescrFOA + 0x8,NewBuffer);    NewImport->Name = FOATORVA(ImportDescrFOA + 0x8 + 0x8,NewBuffer);    memset((LPVOID)((DWORD)NewImport+sizeof(*NewImport)),0,sizeof(*NewImport));    //修正 数据段    pDosHeader = (PIMAGE_DOS_HEADER)NewBuffer;    pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);    pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4);    pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);    pOptionalHeader->DataDirectory[1].VirtualAddress = pNewSec->VirtualAddress;    pOptionalHeader->DataDirectory[1].Size += 0x20;    FILE* fp = fopen("C:fg.exe","wb+");    fwrite(NewBuffer,pOptionalHeader->SizeOfImage,1,fp);    fclose(fp);    return 0;}int main(int argc, char* argv[]){    LPVOID pFileBuffer = NULL;    LPVOID pNewSecFoa = NULL;    PCHAR path = "C:飞鸽传书.exe";    pFileBuffer = readFile(path);    ImportInject(pFileBuffer,"InjectDll.dll","ExportFunction");    system("pause");    return 0;}

以上是今天分享的内容，大家看懂了吗？

weixin_39621185
关注
dbeaver导出表结构和数据_表结构数据
weixin_39880318的博客
11-24 6916
什么是表结构数据表结构数据中的“表”来源于关系型数据库中的“table”，关系型数据库中的数据都是以表结构进行存储的，它是数据分析工具中最基本的存储结构。在关系型数据库中一个数据库可以有多个数据表，每个数据表都是由固定列和任意行构成的二维表结构的数据集。表中的列称为字段，表中的行称为记录，并以字段为基本的存储单位和计算单位。为什么要使用表结构数据除了Excel和WPS之外的其他分析工具，都是使用二...
DBeaver 导出表结构、数据
m0_67265464的博客
09-11 1万+
深知大多数初中级Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则近万的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《Java开发全套学习资料》送给大家，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
DBeaver 导出数据库表结构和数据
热门推荐
王坦的博客
10-14 12万+
本文简单介绍了怎样使用 DBeaver 导出数据库的表结构、序列、以及表数据。
dbeaver导出表结构和数据，无需二次操作
github_66624340的博客
01-29 8364
dbeaver导出表结构和数据，drop+insert
dbeaver导入sql文件_从零开始学习 MySQL 系列索引、视图、导入和导出
weixin_39714113的博客
11-23 3764
阅读本文大概需要 8分钟前言上篇文章我们学习了数据库和数据表操作语句，今天我们学习下数据库索引，视图，导入和导出的知识。作为基础篇，不会涉及到关于索引和视图的高级应用和核心概念，但是基本操作大家会了解，尤其是关于索引的内容，学会建立恰当的索引可以大大提高数据库的查询效率，后续会深入拓展相关知识，敬请关注呀~(想看看周末还有多少爱学习的小伙伴，你们在哪里呀，O(∩_∩)O哈哈~)1、目录...
DBeaver （dbeaver-ce_21.3.2_amd64.deb）
01-12
DBeaver （dbeaver-ce_21.3.2_amd64.deb）适用于Linux Debian 包 64 位（安装程序）。...DBeaver 提供一个图形界面用来查看数据库结构、执行SQL查询和脚本，浏览和导出数据，处理BLOB/CLOB 数据，修改数据库结构等。
dbeaver 导出表结构
最新发布
06-25
如果你想要使用 DBeaver 导出表结构，可以按照以下步骤操作： 1. **打开 DBeaver**：首先，启动 DBeaver 并连接到你的数据库服务器。 2. **选择数据库和表**：在左侧的导航树中，找到并展开你想要导出表结构的...
dbeaver导入excel文件_Pandas 数据的导入和导出
weixin_39540934的博客
11-21 2412
Pandas能从文本文件和Excel文件中读入数据，形成dataframe，也可以将dataframe导出到文本文件、Excel文件中存储起来。导入函数有（1）pd.read_csv()：导入后缀名为.csv，.txt的文本文件；（2）pd.read_excel()：导入后缀名为.xlsx的Excel文件。导出函数有（1）df.to_csv)()：将数据存储到csv文件或txt文件中；（2）df....
dbeaver如何导出mysql数据库_DBeaver操作数据表的拷贝
weixin_36289211的博客
01-20 1万+
通过DBeaver工具链接数据库后，我们就可以通过菜单或者命令功能来实现我们想要的目的。(一)创建数据库新建数据库，如下图所示：——>在点击“确定”按钮后，可能会遇到失败，此时，我们可以直接通过sql语句来实现，在SQL控制台中输入CREATE DATABASE bien_test，执行sql命令就可以完成创建了。(二)创建数据表在bien_test数据库下新建表table_a(名称任意，...
dbeaver 导出表结构_逆向工具之移动导出表
weixin_39875028的博客
12-27 5724
0x01 移动表目的1、PE结构里许多表是编译器自动生成的，里面存储很多非常重要的信息，比如这次要移动的导出表记录了函数的地址，序号，函数名称，函数数量等，通俗来说，导出表相当于一张函数使用说明书，提供给函数使用。2、在程序启动的时候，系统会根据这些表来做初始化的工作：比如将用到的DLL中的函数地址存储到IAT表中，修复IAT表。3、很多时候，为了保护我们的程序，可以对程序的二进制代码进...
Oracle 数据库、表、方案的逻辑备份与恢复
weixin_30606461的博客
03-29 211
数据库(表)的逻辑备份与恢复 逻辑备份是指使用工具export将数据对象的结构和数据导出到文件的过程,逻辑恢复是指当数据库对象被破坏而使用工具import利用备份的文件把数据对象导入到数据库的过程,逻辑备份和恢复只能在open的情况下进行。 一、导出操作 1、导出 导出具体分为三种:导出表、导出方案、导出数据库三种方式 导出使用exp命令来完成的,该命令常用的选项有: use...
MySQL查询表信息
青云的博客
03-22 155
MySQL查询表信息!
Oracle数据库数据导入导出工具(exp/imp)
weixin_44064656的博客
09-13 1526
转行做程序员不久，作为开发人员数据迁移及导入导出的一些经常使用的工具记录，之前使用过sql格式，由于数据量比较大，采用这种方式不考虑，后面选择dmp格式文件导出： 1-exp/imp工具 2-Oracle数据库数据泵导入导出（expdp、impdp） 3.其它第三方软件工具 常用的三种模式：完全模式、用户模式、表模式(我比较使用用户模式和表模式) a. 用户模式： 导出/导入用户所有对象以及...
dbeaver导出表结构_数据导入和导出_1 MAT文件的保存和读取
weixin_39840606的博客
11-28 1123
觉得有用的话,请点击右下角推荐给更多小伙伴neoken_xuAsurada2015Evacloud 本文为matlab自学笔记的一部分，之所以学习matlab是因为其真的是人工智能无论是神经网络还是智能计算中日常使用的，非常重要的软件。也许最近其带来的一些负面消息对国内各个高校和业界影响很大。但是我们作为技术人员，更是要奋发努力，拼搏上进，学好技术，才能师夷长技以制夷，为中...
mysql如何将表结构导出到excel
01-21
需求如下 导出表的结构，和字段备注信息，表名等。不需要借用第三方工具即可实现。 SELECT TABLE_NAME 表名, ...-- developerclub为数据库名称，到时候只需要修改成你要导出表结构的数据库即可 table_sch
DBeaver导出表结构
09-10
在DBeaver中导出表结构的方法是选中要导出的表，然后生成SQL语句的DDL部分。你可以通过以下步骤来实现： 1. 在DBeaver中打开要导出表结构的数据库。 2. 在数据库资源管理器中找到要导出的表，并右键点击该表。 3. 在...
dbeaver导出表结构和数据_数据结构1|顺序表+链表
weixin_39791152的博客
11-28 1941
数据结构学习笔记1进度：静态分配顺序表+单链表参考资料：b站 王道考研+小甲鱼<判断一个算法的效率时，函数中的常数和其他次要项常常可以忽略，而更应该关注最高项目、的阶数。推导大O阶方法：1、 用常数1取代运行时间中的所有加法常数2、 在修改后的运行次数函数中，只保留最高阶项3、 如果最高阶项存在且不是1，则去除系数O(1)口诀：常对幂指阶由零个或多个数据元素组成的有限序列1、 首先...
dbeaver导出表结构_将 MongoDB 导出成 csv
weixin_39775896的博客
11-22 462
【摘要】 将 Mongodb 数据结构转换成结构化的数据需求，我们可利用集算器 SPL 语言来进行辅助实现。若想了解更多，请前往乾学院：将 MongoDB 导出成 csv!
dbeaver导出表结构和数据_数据结构中的 Hash 表
weixin_39872893的博客
11-21 355
什么是散列表是根据键 (Key) 而直接访问在内存存储位置的数据结构。也就是说，它通过计算一个关于键值的函数，将所需查询的数据映射到表中一个位置来访问记录，这加快了查找速度。这个映射函数称做散列函数，存放记录的数组称做散列表。通俗的解释一个通俗的例子是，为了查找电话簿中某人的号码，可以创建一个按照人名首字母顺序排列的表(即建立人名x 到首字母 F(x) 的一个函数关系)，在首字母为W的表中查找 王...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值