PE(64位)文件之导入表

  • A+
所属分类:逆向工程

    导入表是PE文件中一个重要的表项,负责声明从其他的库中调入函数。一般代表着这个PE文件使用了哪些其他库的函数。

首先我们先了解下几个名词:

PE文件:PE结构的文件,一般为可执行程序,.exe.dll.sys.vxd.ocx.com等。

VA (Virtual Address):虚拟地址,代表着PE文件映射进内存之后的地址。

RVA (Reverse Virtual Address)相对虚拟地址,对于PE文件映射进内存之后相对基地址偏移。

FOA(File Offset Address)文件中的偏移(文件映射进内存后内存对其并不一定与文件中一致,因此ROA不一定等于RVA)。

接下来我们将通过PE文件格式去手动解析导入表的位置以及结构。

PE(64位)文件之导入表


首先从文件起始开始解析为_IMAGE_DOS_HEADER结构,但实际上这个结构大多数都是没有使用的,主要是为了兼容很早以前的DOS。会使用到的数据结构有:e_magin若不等于MZ则代表不是一个DOS程序,随后e_lfanew代表着 _IMAGE_NT_HEADERS结构的FOA(E8)

 _IMAGE_NT_HEADERS结构:

PE(64位)文件之导入表

Signature PE代表这是个PE程序。该结构中另含有_IMAGE_FILE_HEADER_IMAGE_OPTIONAL_HEADER 两个结构。

导入表与导入表都存放在IMAGE_OPTIONAL_HEADER结构的DataDirectory数组中

IMAGE_OPTIONAL_HEADER结构:

PE(64位)文件之导入表

其中DataDirectory在结构中的偏移是0x88

PE(64位)文件之导入表

对于这个数组的下标描述如下:

PE(64位)文件之导入表


可以看到有 IMAGE_DIRECTORY_ENTRY_IMPORT,除此之外还有一个IMAGE_DIRECTORY_ENTRY_IAT,这个是IAT(导入地址表),仅在当程序被加载完成后才生效,里面存放的是每个函数的RVA

IMAGE_DATA_DIRECTORY数组的类型结构:

PE(64位)文件之导入表

注意这里给出的是VirutalAddress(VA)需要转换为FOA在文件中查看数据。

RVA2FOA的算法首先需要找到相应的段信息

PE(64位)文件之导入表

可以看到.rdata段的虚拟地址范围是7f000~B2000

文件地址在0x7d800

而我们导入表的地址为0x0a6f8c:大小是0x0794的大小

 

PE(64位)文件之导入表

RVA2FOA的算法:

RVA-段基址+段在文件中的基址获得FOA

0x0a6f8c - 0x7f000 + 0x7d800 = 0xA578C

接下来是一个_IMAGE_IMPORT_DESCRIPTOR 数组

_IMAGE_IMPORT_DESCRIPTOR结构:

 

PE(64位)文件之导入表

PE(64位)文件之导入表

 

每一个_IMAGE_IMPORT_DESCRIPTOR结构描述一个DLL

其中nameDll的名称的RVA

PE(64位)文件之导入表


同样的RVA2FOA

PE(64位)文件之导入表

PE(64位)文件之导入表

可以看到这个DLL名字叫api-ms-win-core-rtlsupport-l1-1-0.dll

 

随后我们需要获得这个Dll中的其他函数的引用,其中就有OriginalFirstThunk的结构也是一个数组,结构体中说明这是一个IMAGE_THUNK_DATA结构体的RVA

FirstThunk在文件中与OriginalFirstThunk一致,但如果加载入内存,并做好了初始化操作,FirstThunk指向的是IAT(IMAGE_DIRECTORY_ENTRY_IAT)一张导入函数地址表。

为了保证一致我们选择OriginalFirstThunk结构。这个结构指向IMAGE_THUNK_DATARVA0x0A8F40

PE(64位)文件之导入表


IMAGE_THUNK_DATA结构:

PE(64位)文件之导入表

PE(64位)文件之导入表

可以看到这里似乎啥都有,但一定要注意这是个union共同体,它所描述的只能是其中的一个意思。

因为这个数据在不同的情况下是不同的数据,导入函数有函数名称和ID两种,在这里也就有两种不同的表达方式。Ordinal就是函数ID。而ForwarderString就是函数名称。

但是如何区分究竟是ID导入还是函数名称导入呢。主要看这个union的最高位,如果最高位为1,那么这个就是ID导入,取低2字节(0xffff)作为ID

PE(64位)文件之导入表


但是大多数函数导入的方式都是函数名称,我们试着获得第一个函数的函数名称,在结构的注释中说明这个RVA实际指向的是PIMAGE_IMPORT_BY_NAME,我们解析下

PE(64位)文件之导入表


同样的RVA2FOA

PE(64位)文件之导入表

随后套用PIMAGE_IMPORT_BY_NAME结构体

 

PE(64位)文件之导入表

PE(64位)文件之导入表


可以看到0x02Hint(实际上是函数ID),而后是一个变长字符数组,函数名称为”RtlCaptureContext”

加载器会通过和我们一样的方式去获取、加载这些DLL并且通过加载入的DLL中的导出表获得需要使用的函数地址,填入IAT使得建立了程序与DLL之间的调用对接。

PETOOLS的PE编辑器:

PE(64位)文件之导入表


本文始发于微信公众号(锋刃科技):PE(64位)文件之导入表

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: