180321 逆向-代码的二次开发（3）获得函数的调用

1625-5 王子昂 总结《2018年3月21日》 【连续第536天总结】
A. 代码的二次开发（3）
B.

获得函数的调用

在扩充程序功能时，有时会遇到调用的API函数不在输入表中
在应用程序调用DLL中的函数之前，DLL文件映像必须被映射到调用进程的地址空间中

方法有两种：
1. 加载时的隐式链接。即修改输入表，增加需要的API函数
2. 运行时的显示链接。即显式链接调用DLL的函数

修改输入表

可以用十六进制编辑工具修改输入表的IID成员，增加新的输入函数。也可以用相关的PE工具增加输入函数，例如LordPE

显式链接调用DLL

在代码中通过LoadLibraryA(W)将DLL文件映像映射到调用进程的地址空间中，函数返回的HINSTANCE值用于表示文件映像映射到的虚拟内存地址。
当DLL文件被映射到调用进程的地址空间里后，就可以调用GetModuleHandleA(W)函数获得DLL模块句柄。
DLL模块被加载后，线程就可以调用GetProcAddress函数获取输入函数的地址。
不过LoadLibrary, GetProcAddress等本身也是API函数，如果原输入表没有，就得在输入表里增加这些API函数；或参考一些病毒技术，在kernel32.dll里暴力搜索出这两个函数地址。

C. 明日计划
代码的重定位