关于输入部分，我们将详细介绍关于输入函数的各种结构，通过一个例子来说明输入函数及其相关结构是怎么放在PE文件中的。以及如何在PE文件中找到这些东西。
一 找到输入部分在文件中位置。
1.1 得到PE Header在文件中的位置。
通过DOS Header结构的成员e_lfanew，可以确定PE Header的在文件中的位置。
1.2 得到文件中节的数目。
确定PE Header的在文件中的位置之后，就可以确定PE Header中的成员FileHeader和成员OptionalHeader在文件中的位置。根据 FileHeader 中的 成员NumberOfSections 的值，就可以确定文件中节的数目，也就是节表数组中元素的个数。
1.3 得到节表在文件中的位置。
PE Header在文件中的位置加上PE Header结构的大小就可以得到节表在文件中的开始位置。PE Header结构的大小可以由Signature的大小加上FileHeader的大小再加上FileHeader中的SizeOfOptionalHeade来确定。其实到目前为止SizeOfOptionalHeade也就是结构Optional Header的大小也是固定的,所以整个PE Header结构的大小也是固定。不过为了安全起见，还是用Signature的大小加上FileHeader的大小再加上FileHeader中的SizeOfOptionalHeade来确定比较保险。
1.4 得到输入部分在文件中的位置。
第1.2步中我们确定了文件中节的数目，第1.3步中我们确定了节表在文件中的位置。
现在来确定输入部分在文件中的位置。
取得PE Header中的Optional Header中的DataDirectory数组中的第二项，
也就是输入部分项。DataDirectory[]数组的每项都是IMAGE_DATA_DIRECTORY结构，该结构定义如下。
typedef struct _IMAGE_DATA_DIRECTORY {
DWORD VirtualAddress;
DWORD Size;
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;
取得DataDirectory数组中的第二项中的成员VirtualAddress的值。这个值就是在内存中资源节的RVA。
如果这个RVA的值为0表示这个PE文件中没有输入部分。
然后根据节的数目，遍历节表数组。也就是从0到(节表数-1)的每一个节表项。
每个节在内存中的RVA的范围是从该节表项的成员VirtualAddress字段的值开始（包括这个值），
到VirtualAddress+Misc.VirtualSize的值结束（不包括这个值）。
我们遍历整个节表，看我们取得的输入部分的RVA，在哪个节表项的RVA范围之内。
如果在范围之内，就找到了输入部分所在节的节表项。
这个节表项中的 PointerToRawData 中的值，就是输入部分所在节在文件中的位置。这个节表项中的VirtualAddress 中的值，就是输入部分所在节在内存中的RVA。用输入部分的RVA减去输入部分所在节的RVA,就可以得到输入部分在该节内偏移。用这个偏移加上该节的在文件中的位置，就可以得到输入部分在文件中的位置。即DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress - SectionTable[i].VirtualAddress + SectionTable[i].PointerToRawData 。
这样我们就得到了输入部分在文件中开始的位置。
二 PE文件中的输入部分。
输入部分，如果要调用别的PE文件中的输出函数，需要那些东西呢？首先需要知道所需函数在哪个文件中，比如函数 NtRaiseHardError 就在PE文件 ntdll.dll 中。所以我们需要一个文件名。而如何找到某个函数的入口地址呢，我们还需要知道该函数的函数名，或者改函数的序号，通过这两者的任一种，我们就可以找到该函数的入口地址（如果不知道为什么，请看 JIURL PE 格式学习总结（二）-- PE文件中的输出函数）。所以我们还需要函数名或者序号，这两者之一。PE文件的输入部分，有这些内容。我们还可以想到，当一个PE文件被执行的时候，它会把所用的输入函数所在的每一个文件载入内存，并且，根据函数名或者序号，获得每一个输入函数的入口地址，存放起来，在程序执行的时候使用。还有就是，一个可执行文件一般都使用好几个PE文件（通常是dll）的输出函数。所以需要有多个dll（就说成dll吧，提供输出函数的PE文件差不多都是dll，下面就按dll说）的相关信息。
前面我们已经得到了输入部分在文件中开始的位置，在输入部分的最开始，是一个IMAGE_IMPORT_DESCRIPTOR 结构数组，这个数组的最后一个元素内容全为空，标示着这个数组的结束，这个数组的每个元素，保存着一个dll的相关信息。紧跟着这个IMAGE_IMPORT_DESCRIPTOR数组的是几个紧挨着的DWORD数组， 数组的每个元素存有函数名字符串的RVA，或者直接保存序号，每个数组的最后一项为空，标示结束。这几个数组之后，紧跟着的是dll名字的字符串和各个输入函数名结构。
IMAGE_IMPORT_DESCRIPTOR 结构在WINNT.H中定义如下。
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics; // 0 for terminating null import descriptor
DWORD OriginalFirstThunk; // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
};
DWORD TimeDateStamp; // 0 if not bound,
// -1 if bound, and real date\time stamp
// in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
// O.W. date/time stamp of DLL bound to (Old BIND)
DWORD ForwarderChain; // -1 if no forwarders
DWORD Name;
DWORD FirstThunk; // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;
这个结构长度为20个字节，共有5个字段。
1 2 下一页 |
安全中国首页 > 文章中心 > 编释语言