- 微信
- 微博
  
  分享文章到微博
- 复制链接
  
  复制链接到剪贴板

PE格式：导入表与IAT内存修正

微软技术分享发表于 2022/12/22 12:25:09 2022/12/22

【摘要】本章教程中，使用的工具是上次制作的PE结构解析器，如果还不会使用请先看前一篇文章中对该工具的介绍，本章节内容主要复习导入表结构的基础知识点，并通过前面编写的一些小案例，实现对内存的转储与导入表的脱壳修复等。关于Dump内存原理，我们可以使用调试API启动调试事件，然后再程序的OEP位置写入CC断点让其暂停在OEP位置，此时程序已经在内存解码，同时也可以获取到程序的OEP位置，转储就是将程序原...

本章教程中，使用的工具是上次制作的PE结构解析器，如果还不会使用请先看前一篇文章中对该工具的介绍，本章节内容主要复习导入表结构的基础知识点，并通过前面编写的一些小案例，实现对内存的转储与导入表的脱壳修复等。

关于Dump内存原理，我们可以使用调试API启动调试事件，然后再程序的OEP位置写入CC断点让其暂停在OEP位置，此时程序已经在内存解码，同时也可以获取到程序的OEP位置，转储就是将程序原封不动的读取出来并放入临时空间中，然后对空间中的节表和OEP以及内存对齐进行修正，最后将此文件在内存保存出来即可。

脱壳修复：输入表一般分为IAT与INT，由于加壳后程序可能会加密或者破坏IAT结构，导致脱壳后IAT不一致了，脱壳修复就是使用未脱壳的源程序的输入表覆盖到新程序中，就这麽简单。

解析 IMAGE_IMPORT_DESCRIPTOR

数据目录表第二个成员指向输入表，该指针在PE开头位置向下偏移80H处，PE开始位置就是B0H , B0H+80H= 130H处。

此处存放着一个指针，00002040 即输入表在内存中的偏移量为 2040，使用前面制作的工具可以快速定位到此处。

2040是一个RVA，需要将其转换为磁盘文件FOA偏移才能定位到输入表在文件中的位置，使用工具快速完成计算任务，转换为文件偏移为 00000640

也可以这样来找到640的位置，首先2040位于rdata，rdata的虚拟偏移是2000h，而实际偏移是600h 使用 2000h - 600h = 1a00h

将相对偏移地址2040转为文件偏移，使用2040-1a00同样可得出640h 用winhex打开后跳转过去看看。

下面将重点解析一下这几个结构的含义。

如上就是导入表中的IID数组，每个IID结构包含一个装入DLL的描述信息，现在有两个DLL，第三个是一个全部填充为0的结构，标志着IID数组的结束。

结构定义如下。

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD   Characteristics;            // 0 for terminating null import descriptor
        DWORD   OriginalFirstThunk;         // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
    } DUMMYUNIONNAME;
    DWORD   TimeDateStamp;                  // 0 if not bound,
                                            // -1 if bound, and real date\time stamp
                                            //     in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
                                            // O.W. date/time stamp of DLL bound to (Old BIND)

    DWORD   ForwarderChain;                 // -1 if no forwarders
    DWORD   Name;
    DWORD   FirstThunk;                     // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;
typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;

以第一个字段为例：

0000 208C => OrignalFirstThunk => 指向输入名称表INT的RVA
0000 0000 => TimeDateStamp => 指向一个32位时间戳,默认此处为0
0000 0000 => ForwardChain => 转向API索引，默认为0
0000 2174 => Name => 指向DLL名字的指针
0000 2010 => FirstThunk => 指向输入地址表IAT的RVA

每个IID结构的第四个字段指向的是DLL名称的地址，以第一个为例，其RVA是0000 2174 将其减去1a00得到文件偏移774，跳转过去看看，调用的是USER32.dll库。

使用工具同样可以快速转换出来。

上方的两个字段OrignalFirstThunk和FirstThunk都可以指向导入结构，在实际装入中，当程序中的OrignalFirstThunk值为0时，则就要看FirstThunk里面的数据了，FirstThunk常被叫做IAT他是在程序初始化时被动态填充的，而OrignalFirstThunk常被叫做INT，他是不可改变的，之所以会保留两份是因为，有些时候会存在反查的需求，保留两份是为了更方便的实现。

解析 IMAGE_THUNK_DATA32

如上，我们找到了User32.dll的OrignalFirstThunk，其地址为208C，使用该值减去1A00h 得到 68Ch，在偏移为68Ch处保存的就是一个IMAGE_THUNK_DATA32数组，他存储的内容就是指向 IMAGE_IMPORT_BY_NAME 结构的地址，最后一个元素以一串0000 0000作为结束标志，先来看一下IMAGE_THUNK_DATA32的定义规范。

typedef struct _IMAGE_THUNK_DATA32 {
    union {
        DWORD ForwarderString;      // PBYTE 
        DWORD Function;             // PDWORD
        DWORD Ordinal;
        DWORD AddressOfData;        // PIMAGE_IMPORT_BY_NAME
    } u1;
} IMAGE_THUNK_DATA32;
typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;