各字段含义如下：
OriginalFirstThunk：（在WINNT.H中Characteristics这个叫法已经不对了）这里实际上保存着一个RVA，这个RVA指向一个DWORD数组，这个数组可以叫做输入查询表。每个数组元素，或者叫一个表项，保存着一个指向函数名的RVA或者保存着一个函数的序号。
TimeDateStamp：当这个值为0的时候，表明还没有bind。不为0的话，表示已经bind过了。有关bind的内容后面介绍。
ForwarderChain：
Name：一个RVA，这个RVA指向一个ascii以空字符结束的字符串，这个字符串就是本结构对应的dll文件的名字。
FirstThunk：一个RVA,这个RVA指向一个DWORD数组，这个数组可以叫输入地址表。如果bind了的话，这个数组的每个元素，就是一个输入函数的入口地址。
输入查询表，就是OriginalFirstThunk所指向的那个DWORD数组，它的每一个元素是一个DWORD值，当最高位为1时，低31位中的值，就是一个序号。当最高位为0时，这个元素的值就是一个指向一个输入函数名结构的RVA。这个数组的最后一个元素值为空，表示数组的结束。
输入函数名结构，在WINNT.H中定义如下。
typedef struct _IMAGE_IMPORT_BY_NAME {
WORD Hint;
BYTE Name[1];
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
这个结构的长度不定，有两个成员。第一个成员是一个WORD类型，长2个字节，保存着输入函数的序号。第二个成员是一个ascii字符串，这个字符串是输入函数的名字。为了保证字对齐，可能会在ascii结束符\0之后再填充一个\0。比如，1b 01 4e 74 54 65 72 6d 69 6e 61 74 65 50 72 6f 63 65 73 73 00 00 ，如果不填充最后一个00的话，长度为21个字节，不是字对齐。所以要填充一个00。
输入地址表，就是FirstThunk所指向的那个DWORD数组，它的每一个元素是一个DWORD值。如果程序已经bind了的话，（判断依据是TimeDateStamp，TimeDateStamp为0则没有bind）那么这里的每个元素的值，就是一个输入函数的入口地址。如果没有bind的话，那么在本pe文件执行时，载入器会载入dll文件，获得每一个输入函数的入口地址，并填入这个输入地址表的每一项中。（这些是我猜的，大家但愿我猜对吧）这个数组的最后一个元素值为空，表示数组的结束。
bind，从上面的介绍中可以看到，如果没有bind的话，每次pe文件被执行时，载入器都要查询一遍每个函数的入口地址，所以为了优化这一点，就有了bind,把入口点直接存在输入地址表中。
载入器会载入所需要的dll。注意一下没有bind的情况下，载入器对输入部分所要做的事情。总之，在载入之后，所需的dll（根据文件名）已经都被载入到内存。并且输入地址表中的每一个元素都是一个输入函数的入口地址了。
下面我们来看一个例子，通过例子就可以明白是怎么回事了。
我们的例子是Win2k中的exe文件csrss.exe。为了防止大家版本不同，本文附带了这个PE文件。
每个结构的不同成员用 / 分开。每行是一个结构。可以用16进制编辑器打开附带的 routetab.dll 对照着看。
括号中内容为注释。
用开始讲到的寻找输入部分在文件中位置的方法，我们找到了输入部分在文件中的位置为000008DCh。
我们来计算一下第一个IMAGE_IMPORT_DESCRIPTOR中的OriginalFirstThunk，Name，FirstThunk。
输入部分所在节的开始rva（由DataDirectory[2]得到）为1000h。输入部分在节在文件中的位置为600h。
Name为rva(值从结构中可以看到是0000135e，如果你不明白为什么是0000135e而不是5e130000的话，请看 《JIURL PE 格式学习总结（一）》中关于 big-endian和little-endian的介绍)，则Name相对于所在节开始处的偏移为135e-1000。而Name在文件中的位置为Name在相对于所在节开始的偏移加上所在节开始处在文件中的位置。所以Name在文件中的位置为135eh-1000h+600h=95eh。同样方法我们可以算出， OriginalFirstThunk：
1318-1000+600=918。FirstThunk：1000-1000+600=600。
000008DC: 18 13 00 00 / ff ff ff ff / ff ff ff ff / 5e 13 00 00 / 00 10 00 00
（结构IMAGE_IMPORT_DESCRIPTOR，每个代表一个dll。可以看到两个IMAGE_IMPORT_DESCRIPTOR，所以本PE文件的输入函数，是由两个dll提供的。第三个全为空，表示结束。）
000008F0: 20 13 00 00 / ff ff ff ff / ff ff ff ff / c2 13 00 00 / 08 10 00 00
（结构IMAGE_IMPORT_DESCRIPTOR）
00000904: 00 00 00 00 / 00 00 00 00 / 00 00 00 00 / 00 00 00 00 / 00 00 00 00
（全为空，表示结束IMAGE_IMPORT_DESCRIPTOR数组结束）
00000918: 44 13 00 00 (文件中的地址为1344-1000+600=944，指向一个输入函数名结构)
0000091C: 00 00 00 00 （为空，一个输入查询表结束）
00000920: 84 13 00 00 (文件中的地址为1384-1000+600=984，指向一个输入函数名结构)
00000924: 98 13 00 00 (1398-1000+600=998)
00000928: 6a 13 00 00 (136a-1000+600=96a)
0000092C: ae 13 00 00 (13ae-1000+600=9ae)
00000930: cc 13 00 00 (13cc-1000+600=9cc)
00000934: dc 13 00 00 (13dc-1000+600=9dc)
00000938: ee 13 00 00 (13ee-1000+600=9ee)
0000093C: 0e 14 00 00 (140e-1000+600=a0e)
00000940: 00 00 00 00 （为空，一个输入查询表结束）
00000944: 18 00 / 43 73 72 53 65 72 76 65 72 49 6e 69 74 69 61 6c 69 7a 61 74 69 6f 6e 00
（输入函数名结构 IMAGE_IMPORT_BY_NAME hint为18 Name为 "CsrServerInitialization."）
0000095E: 43 53 52 53 52 56 2e 64 6c 6c 00 00
（第一个IMAGE_IMPORT_DESCRIPTOR的Name指向这里"CSRSRV.dll"）
0000096A: 00 01 / 4e 74 53 65 74 49 6e 66 6f 72 6d 61 74 69 6f 6e 50 72 6f 63 65 73 73 00
（"NtSetInformationProcess."）
00000984: 1c 01 / 4e 74 54 65 72 6d 69 6e 61 74 65 54 68 72 65 61 64 00
00000998: 1b 01 / 4e 74 54 65 72 6d 69 6e 61 74 65 50 72 6f 63 65 73 73 00 00
000009AE: d8 00 / 4e 74 52 61 69 73 65 48 61 72 64 45 72 72 6f 72 00 00
000009C2: 6e 74 64 6c 6c 2e 64 6c 6c 00
000009CC: 0d 00 / 44 62 67 42 72 65 61 6b 50 6f 69 6e 74 00
000009DC: 4a 01 / 52 74 6c 41 6c 6c 6f 63 61 74 65 48 65 61 70 00
000009EE: 85 02 / 52 74 6c 55 6e 69 63 6f 64 65 53 74 72 69
6e 67 54 6f 41 6e 73 69 53 74 72 69 6e 67 00 00
00000A0E: 30 02 / 52 74 6c 4e 6f 72 6d 61 6c 69 7a 65 50 72 6f 63 65 73 73 50 61 72 61 6d 73 00
00000A2A: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00000A3A: ...
00000600: 38 1f f8 5f
00000604: 00 00 00 00 （为空，一个输入地址表结束）
00000608: 6d f0 f8 77
0000060C: d8 c3 f8 77
00000610: a5 b7 f8 77
00000614: 38 a4 f9 77
00000618: df f9 f9 77
0000061C: 6b 97 fc 77
00000620: ec e5 f8 77
00000624: 18 2c f9 77
00000628: 00 00 00 00 （为空，一个输入地址表结束）
本例比较可惜的是，在两个输入查询表中，都是函数名结构的RVA，没有直接的序号（是序号还是RVA的判别方法为，看最高位是否为1，为1，其余部分表示序号。为0，整个字段表示RVA）。
三 遍历PE文件中的输入
用while循环，遍历IMAGE_IMPORT_DESCRIPTOR数组的每个元素（每个可以找到一个dll的信息和该dll提供的输入函数）。当某元素的值都为空时，表示遍历到了数组的最后。而对于IMAGE_IMPORT_DESCRIPTOR数组的一个元素，再用while循环，遍历IMAGE_IMPORT_DESCRIPTOR中，两个RVA所指的两个DWORD数组，输入查询表和输入地址表。判断结束的条件也是看，是否数组元素的值已经为空了。也就是while（..）{..while(..){}..}这样就可获得每一个有关输入的内容。
实现遍历输入的源程序，可以参考 PEDUMP - Matt Pietrek 1995 。《Windows95系统程式设计大奥秘》附书源码中有。
完 上一页 1 2 |
安全中国首页 > 文章中心 > 编释语言