导入表和绑定导入
导入表
概述
导入表是用来存储应用程序需要的利用的模块以及模块内的函数的结构。记录了模块的信息和函数的信息。
结构
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics;
DWORD OriginalFirstThunk; //指向IMAGE_THUNK_DATA结构
};
DWORD TimeDateStamp;
DWORD ForwarderChain;
DWORD Name; //模块名称
DWORD FirstThunk; //指向IMAGE_THUNK_DATA结构
} IMAGE_IMPORT_DESCRIPTOR;
typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;
其中,OriginalFirstThunk和FirstThunk结构都指向IMAGE_THUNK_DATA结构，分别构成两个表INT和IAT表，两个表内的每个结构都指向一同个IMAGE_IMPORT_BY_NAME结构
typedef struct _IMAGE_THUNK_DATA32 {
union {
PBYTE ForwarderString;
PDWORD Function;
DWORD Ordinal; //序号
PIMAGE_IMPORT_BY_NAME AddressOfData; //指向IMAGE_IMPORT_BY_NAME
} u1;
} IMAGE_THUNK_DATA32;
typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;
typedef struct _IMAGE_IMPORT_BY_NAME {
WORD Hint; //函数序号
BYTE Name[1]; //函数名称
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
函数导入的过程
1.操作系统首先找到NAME对应的模块，然后遍历INT表去寻找IMAGE_IMPORT_BY_NAME结构（其中IMAGE_THUNK_DATA结构的搜索方式是：高一位如果是0，根据字符串方式寻找。如果是1，根据函数序号方式寻找函数）。
2.找到IMAGE_IMPORT_BY_NAME后系统利用GetProc Addr()函数找到函数的地址，并将地址放入IAT表中。
绑定导入
概述
绑定导入目的是更快速的载入dll，其作用是取消系统修改IAT的过程。其单独在DataDirectory[11].VirttualAddress地址中。
结构
typedef struct _IMAGE_BOUND_IMPORT_DESCRIPTOR {
DWORD TimeDateStamp; //时间戳
WORD OffsetModuleName;
WORD NumberOfModuleForwarderRefs; //IMAGE_BOUND_FORWARDER_REF结构的个数
} IMAGE_BOUND_IMPORT_DESCRIPTOR, *PIMAGE_BOUND_IMPORT_DESCRIPTOR;
typedef struct _IMAGE_BOUND_FORWARDER_REF {
DWORD TimeDateStamp; //时间戳
WORD OffsetModuleName;
WORD Reserved;
} IMAGE_BOUND_FORWARDER_REF, *PIMAGE_BOUND_FORWARDER_REF;
PE加载相关的DLL的时候，首先会根据IMAGE_IMPORT_DESCRIPTOR结构的TimeDateStamp结构与以上的两个结构的TimeDateStamp比较，判断是否需要重新计算IAT的值。
NumberOfModuleForwarderRefs指向IMAGE_BOUND_FORWARDER_REF 的个数。直接跟随在结构之后。
编程关键
导入表：
比较高1位需要数据与0x80000000进行&运算判断，输出的结果是与0x7fff ffff与运算。
绑定导入：
Name的位置在绑定导入表为基准的OffsetModuleName偏移位置处。
IMAGE_BOUND_IMPORT_DESCRIPTOR的索引需要加上IMAGE_BOUND_FORWARDER_REF 所占的空间。
代码演示
#include