PE手工分析导入表和导入函数地址表分析

在上篇:PE手工分析-PE头中我们了解了PE文件头内容,在此基础上我们来分析一下导入表和导入函数地址表的内容.

还是使用上篇使用的PE文件来分析,上一篇中我们基本上已经定位出PE头的位置以及相应内容.

在PE扩展头中包含 IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];//数据目录表

通过该数据目录表我们可以进一步对导入表和导入函数地址表进行详细的分析(其数据目录表分析也雷同)

详细信息可以查看MSDN定义.

数据目录表结构定义:

typedef struct _IMAGE_DATA_DIRECTORY {

    DWORD   VirtualAddress;

    DWORD   Size;

} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES]数据目录表分析如下:

索引	数据目录表	文件偏移地址	偏移	大小	说明
0	导出表	00000170h	00 00 00 00	00 00 00 00	没有导出
1	导入表	00000178h	00 E0 01 00	64 00 00 00
	...
12	导入地址表	000001d0h	A0 E2 01 00	3C 02 00 00
	…
	...
	...

导入表RVA=01E000

IAT RVA=01E2A0

RVA的概念请参考:RVA，另外可以参考《加密解密ii》中的第二章介绍

了解了RVA之后我们就明白了在获取导入表的RVA之后需要根据节地址转换成文件相对地址FOA

所以为了获取导入表的文件相对地址需要对PE的节表进行分析

首先需要知道节表所在的位置(紧跟数据目录表结尾)

总共16个数据目录,导入地址函数表在第12(0开始)个位置

节表起始位置=1d0+8+3×8=1F0

节表结构如下:

typedef struct _IMAGE_SECTION_HEADER {

    BYTE    Name[IMAGE_SIZEOF_SHORT_NAME];// #define IMAGE_SIZEOF_SHORT_NAME 8

    union {

            DWORD   PhysicalAddress;

            DWORD   VirtualSize;

    } Misc;

    DWORD   VirtualAddress;

    DWORD   SizeOfRawData;

    DWORD   PointerToRawData;

    DWORD   PointerToRelocations;

    DWORD   PointerToLinenumbers;

    WORD    NumberOfRelocations;

    WORD    NumberOfLinenumbers;

    DWORD   Characteristics;

} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

从上面镜像头分析可以之后该PE中包含有7个节

每个节包含40个字节

总共占有空间:40×7=280(0x118)->01F0-20E

可以看到每个节对应的内容如下:

段名称	虚拟地址	虚拟大小	物理地址	物理大小	标志	PointerToRawData
.textbss	1000	0	10000	0	2EE0
.text	11000		897D	00008A00	60000020	00000400
.rdata	1A000		24B5	2600	40000040	8E00
.data	01D000		05F4	2000	C0000040	B400
.idata	0001E000		10C8	1200	C0000040	B600
.rsrc	00020000		0459	0600	40000040	C800
.reloc	00021000		06DA	0800	42000040	CE00

节表的分析完毕,然后我们需要针对导入表的RVA获取相应的FOA

RVA:01E000=>PointerToRawData:B600

指向导入表描述符

typedef struct _IMAGE_IMPORT_DESCRIPTOR {

    union {

        DWORD   Characteristics;            //

        DWORD   OriginalFirstThunk;         //

    } DUMMYUNIONNAME;         //0001e270=>B600+270=b870->01E4DC->_foo@4

    DWORD   TimeDateStamp;                  // 0                                          

    DWORD   ForwarderChain;                 //0

    DWORD   Name;                 //01E4E6=>B600+4E6=BAE6->dllExport.dll

    DWORD   FirstThunk;                     //01E4AC=>B600+4AC=BAAC->01E4DC->_foo@4

} IMAGE_IMPORT_DESCRIPTOR;

其文件内容如下:

OriginalFirstThunk指向地址(RVA)01E4DC->(FOA)BADC

FirstThunk指向地址(RVA)01E4AC->(FOA)BAAC对应结构为

typedef struct _IMAGE_THUNK_DATA32 {

    union {

        DWORD ForwarderString;      // PBYTE

        DWORD Function;             // PDWORD

        DWORD Ordinal;

        DWORD AddressOfData;        // PIMAGE_IMPORT_BY_NAME

    } u1;

} IMAGE_THUNK_DATA32;

相应IMAGE_THUNK_DATA指向的内容为

typedef struct _IMAGE_IMPORT_BY_NAME {

    WORD    Hint;            //00

    BYTE    Name[1];     //_foo@4

} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

这里对应的导入表分析基本完成了