脫殼后的修復

IAT修復

IAT

導入地址表（IAT）:Import Address Table 由於導入函數就是被程序調用但其執行代碼又不在程序中的函數，這些函數的代碼位於一個或者多個DLL 中.當PE 文件被裝入內存的時候，Windows 裝載器才將DLL 裝入，並將調用導入函數的指令和函數實際所處的地址聯系起來(動態連接)，這操作就需要導入表完成.

為什么要手動修復IAT？

我們已經掌握了如何尋找OEP和脫殼，有的時候，Dump出來的時候不能正常運行，是因為還有一個輸入表沒有進行處理，這時候，我們可以嘗試手動修復IAT。

原理

程序的IAT是連續的排列的，所以我們只需要找到IAT的起始位置和末位置，就可以確定IAT的地址和大小。在壓縮殼中，我們只要找一個調用系統的API的Call的地址，然后在數據窗口中查找，確定IAT起始和結束地址。然后在OD中手動修復。

思路

1.查殼
2.找到程序入口
3.OD插件脫殼-->失敗
4.LoadPE脫殼-->失敗
5.用ImportREC自動修復-->失敗
6.手動查找IAT，用ImportREC進行修復-->成功

實驗過程

查殼，顯示FSG殼
我們用ESP定律法脫殼，關鍵跳轉后，沒有到OPE，右鍵分析，從模塊中刪除分析。
到達OPE
用OD的脫殼插件脫殼，這個插件是可以自動修復ITA的，如圖勾擇重建輸入表。
用OD自帶的插件脫殼以后，查殼顯示無殼，但不能運行。
換一種方法脫殼試試~用LoadPE脫殼
修正鏡像大小
還是不能運行
用ImportREC進行輸入表重建，嘗試修復程序，輸入剛剛調試時找到的OPE地址，點擊自動查找IAT
點擊獲取輸入表，工具自動幫你填充RVA，這里的ＲＶＡ是ＩＡＴ起始的偏移量。ＲＡＶ是偏移地址的意思，如果說Windows裝載器將一個PE文件裝入 00400000h處的內存中，而某個節中的某個數據被裝入0040xxxxh處，那么這個數據的RVA就是（0040xxxxh- 00400000h）＝xxxxh。