C/C++ 導入表與IAT內存修正

本文轉載自查看原文 2020-09-17 20:15 440 C/C++ 編程筆記/ C/C++ 黑客編程

本章教程中，使用的工具是上次制作的PE結構解析器，如果還不會使用請先看前一篇文章中對該工具的介紹，本章節內容主要復習導入表結構的基礎知識點，並通過前面編寫的一些小案例，實現對內存的轉儲與導入表的脫殼修復等。

關於Dump內存原理，我們可以使用調試API啟動調試事件，然后再程序的OEP位置寫入CC斷點讓其暫停在OEP位置，此時程序已經在內存解碼，同時也可以獲取到程序的OEP位置，轉儲就是將程序原封不動的讀取出來並放入臨時空間中，然后對空間中的節表和OEP以及內存對齊進行修正，最后將此文件在內存保存出來即可。

脫殼修復：輸入表一般分為IAT與INT，由於加殼后程序可能會加密或者破壞IAT結構，導致脫殼后IAT不一致了，脫殼修復就是使用未脫殼的源程序的輸入表覆蓋到新程序中，就這麽簡單。

解析器下載與使用：https://www.cnblogs.com/LyShark/p/12960816.html

解析 IMAGE_IMPORT_DESCRIPTOR

數據目錄表第二個成員指向輸入表，該指針在PE開頭位置向下偏移80H處，PE開始位置就是B0H , B0H+80H= 130H處。

此處存放着一個指針，00002040 即輸入表在內存中的偏移量為 2040，使用前面制作的工具可以快速定位到此處。

2040是一個RVA，需要將其轉換為磁盤文件FOA偏移才能定位到輸入表在文件中的位置，使用工具快速完成計算任務，轉換為文件偏移為 00000640

也可以這樣來找到640的位置，首先2040位於rdata，rdata的虛擬偏移是2000h，而實際偏移是600h 使用 2000h - 600h = 1a00h

將相對偏移地址2040轉為文件偏移，使用2040-1a00同樣可得出640h 用winhex打開后跳轉過去看看。

下面將重點解析一下這幾個結構的含義。

如上就是導入表中的IID數組，每個IID結構包含一個裝入DLL的描述信息，現在有兩個DLL，第三個是一個全部填充為0的結構，標志着IID數組的結束。

結構定義如下。

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD   Characteristics;            // 0 for terminating null import descriptor
        DWORD   OriginalFirstThunk;         // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
    } DUMMYUNIONNAME;
    DWORD   TimeDateStamp;                  // 0 if not bound,
                                            // -1 if bound, and real date\time stamp
                                            //     in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
                                            // O.W. date/time stamp of DLL bound to (Old BIND)

    DWORD   ForwarderChain;                 // -1 if no forwarders
    DWORD   Name;
    DWORD   FirstThunk;                     // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;
typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;

以第一個字段為例：

0000 208C => OrignalFirstThunk => 指向輸入名稱表INT的RVA
0000 0000 => TimeDateStamp => 指向一個32位時間戳,默認此處為0
0000 0000 => ForwardChain => 轉向API索引，默認為0
0000 2174 => Name => 指向DLL名字的指針
0000 2010 => FirstThunk => 指向輸入地址表IAT的RVA

每個IID結構的第四個字段指向的是DLL名稱的地址，以第一個為例，其RVA是0000 2174 將其減去1a00得到文件偏移774，跳轉過去看看，調用的是USER32.dll庫。

使用工具同樣可以快速轉換出來。

上方的兩個字段OrignalFirstThunk和FirstThunk都可以指向導入結構，在實際裝入中，當程序中的OrignalFirstThunk值為0時，則就要看FirstThunk里面的數據了，FirstThunk常被叫做IAT他是在程序初始化時被動態填充的，而OrignalFirstThunk常被叫做INT，他是不可改變的，之所以會保留兩份是因為，有些時候會存在反查的需求，保留兩份是為了更方便的實現。

解析 IMAGE_THUNK_DATA32

如上，我們找到了User32.dll的OrignalFirstThunk，其地址為208C，使用該值減去1A00h 得到 68Ch，在偏移為68Ch處保存的就是一個IMAGE_THUNK_DATA32數組，他存儲的內容就是指向 IMAGE_IMPORT_BY_NAME 結構的地址，最后一個元素以一串0000 0000作為結束標志，先來看一下IMAGE_THUNK_DATA32的定義規范。

typedef struct _IMAGE_THUNK_DATA32 {
    union {
        DWORD ForwarderString;      // PBYTE 
        DWORD Function;             // PDWORD
        DWORD Ordinal;
        DWORD AddressOfData;        // PIMAGE_IMPORT_BY_NAME
    } u1;
} IMAGE_THUNK_DATA32;
typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;

直接使用WinHex定位到68Ch處，此處就是OrignalFirstThunk中保存的INT的內容，如下圖中，出去最后一個00000000以外，一共有11個四字節，則說明User32.dll中導入了11個API函數。