当前位置:网站首页>导入地址表分析(根据库文件名求出:导入函数数量、函数序号、函数名称)
导入地址表分析(根据库文件名求出:导入函数数量、函数序号、函数名称)
2022-04-23 15:31:00 【Hardworking666】
导入地址表(Import Address Table,IAT)用来记录程序正在使用哪些DLL中的哪些函数。
导入名称表(Import Name Table,INT)
一、找出库文件名和RVAsec和RAWsec
通过分析PE头,可得notepad.exe的各节区头范围如表4-12所示。并分析出表4-13。
二、分析INT和IAT,得出导入函数数量
下面进一步分析notepad.exe文件的INT和IAT。
以 KERNEL32.dll
为例,该DLL对应的 INT 数组和 IAT 数组在PE中的RAW偏移量分别为6B58H和48CH。
PE文件的偏移量区间6B58H~6C3FH
的空间保存INT,其中IMAGE_THUNK_DATA32结构的个数为57。
这里:57=14行×4+1,这个就是导入函数数量
PE文件的偏移量区间48CH~573H
的空间保存IAT,其中IMAGE_THUNK_DATA32结构的个数也为57。
INT和IAT的内容分别如图4-4(a)和图4-4(b)所示。
三、函数序号、函数名称
接着分析INT的第一项(00008024H)所指向的IMAGE_IMPORT_BY_NAME结构的内容,
该内容在PE文件的偏移量8024H-1000H+ 400H=7424H位置。
注:这里是8024,因为是2480的小端存储方式。可以通过LordPE算出。
该结构的内容如图4-5所示。
其中Hint字段的序号值为013EH,而被导入函数的Name字段经十六进制编辑器分析出为"GetCurrentThreadId”。
也可以用类似的方法分析出KERNEL32.dl1中所有被notepad.exe导入的函数的序号和函数名。
第一函数序列号(小端):013E
第一函数名:GetCurrentThreadId
函数序号、函数名称可以通过HXD右键选择范围再输入偏移量得出:
版权声明
本文为[Hardworking666]所创,转载请带上原文链接,感谢
https://blog.csdn.net/Hardworking666/article/details/124309121
边栏推荐
- A series of problems about the best time to buy and sell stocks
- Advantages, disadvantages and selection of activation function
- What is CNAs certification? What are the software evaluation centers recognized by CNAs?
- Adobe Illustrator menu in Chinese and English
- Basic operation of sequential stack
- Explanation of redis database (III) redis data type
- Three uses of kprobe
- 推荐搜索 常用评价指标
- Explanation of redis database (IV) master-slave replication, sentinel and cluster
- 【backtrader源码解析18】yahoo.py 代码注释及解析(枯燥,对代码感兴趣,可以参考)
猜你喜欢
asp. Net method of sending mail using mailmessage
Detailed explanation of kubernetes (XI) -- label and label selector
Lotus DB design and Implementation - 1 Basic Concepts
How to design a good API interface?
How did the computer reinstall the system? The display has no signal
Kubernetes详解(十一)——标签与标签选择器
G007-hwy-cc-estor-03 Huawei Dorado V6 storage simulator construction
群体智能自主作业智慧农场项目启动及实施方案论证会议
Reptile exercises (1)
Tun equipment principle
随机推荐
推荐搜索 常用评价指标
X509 certificate cer format to PEM format
Cookie&Session
Squid agent
移动app测试如何进行?
木木一路走好呀
What role does the software performance test report play? How much is the third-party test report charged?
The El tree implementation only displays a certain level of check boxes and selects radio
Adobe Illustrator menu in Chinese and English
MySQL installation process (steps for successful installation)
Byte interview programming question: the minimum number of K
adobe illustrator 菜单中英文对照
Detailed explanation of MySQL connection query
T2 iCloud日历无法同步
Precautions for use of dispatching system
控制结构(一)
Elk installation
Example of time complexity calculation
【Leetcode-每日一题】安装栅栏
JSON date time date format