查看: 138|回复: 0

[原创图文] 手写PE第八课 写入导入表

[复制链接]
发表于 2020-5-7 21:32:58 | 显示全部楼层 |阅读模式
  这节课我们来完成.rdata段,这个段非常重要,也有些繁琐。之前我们只是简单的完成数据目录数组的第二个元素导入表目录,用’x’为标记,填充了导入表的位置,现在我们要一并解决这个问题。前面已经说过,每个数据目录具有两个成员,第一个成员表示目录表的起始RVA地址,第二个成员表示目录表的长度。对于我们这个导入表目录来说,他指的就是导入表了,这个导入表实际上是一个IMAGE_IMPORT_DESCRIPTOR 结构数组,每个结构包含PE文件引入函数的一个相关DLL的信息。比如,如果该PE文件从10个不同的DLL中引入函数,那么这个数组就有11个成员。第11个数组以一个全0的成员结尾。那么.rdata段的内容应该就是IMAGE_IMPORT_DESCRIPTOR 结构数组了,我们这里用到user32.dll库,第一个元素的成员1的地址是不是就是.rdata的首地址呢?不是这样的,这里有个规律,我们导入了多少个函数,那么就要空出8乘以导入函数个数个字符的空间(为什么要空些空间呢?要放什么呢?一会便可知晓),在其后才是IMAGE_IMPORT_DESCRIPTOR结构成员的首地址。在这里我们导入了1个函数,那么应该空1 * 8 = 8个字符,.rdata段的首地址是600h,那么IMAGE_IMPORT_DESCRIPTOR结构成员的首地址应该是608h。
  这时我们便得到了数据目录数组的第二个元素导入表目录结构成员1的值,是不是就是“08060000”呢?
  不是的,因为这里的地址是RVA(映射后内存的地址),而文件的600h被映射为2000h(LordPE查看),所以608h被映射后的RVA为2008h,故此值为“08200000”

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  我们可以把其中的“xxxxxxxx”替换为“08200000”。

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  数据目录数组的第二个元素导入表目录结构成员2的值是指IMAGE_IMPORT_DESCRIPTOR 结构数组的长度,IMAGE_IMPORT_DESCRIPTOR 结构长度是20个字节,我们这里的IMAGE_IMPORT_DESCRIPTOR 结构数组元素是1个,并且还有一个以全零结尾的结构,那么总长度就是2 * 20 = 40byte,转换成十六进制是28,我们可以把另一个“xxxxxxxx”替换为“28000000”。

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  替换完成如下图

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  成员1,4个字节,他实际上是指向一个 IMAGE_THUNK_DATA 结构数组的RVA,而IMAGE_THUNK_DATA 结构数组记录所有从某个.dll库中导入函数名称的RVA。IMAGE_THUNK_DATA 结构位于IMAGE_IMPORT_DESCRIPTOR 结构之后,由IMAGE_IMPORT_DESCRIPTOR 结构数组的起始地址和长度可以得到IMAGE_THUNK_DATA 结构数组的起始地址。即608h + 28h =630h,那么这个IMAGE_IMPORT_DESCRIPTOR 结构数组的第一个元素的成员1的值是不是就是630h呢?并不是的,因为这是一个RVA值,所以映射后的值应该是“30200000”。

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  成员2,成员3各4各字节,用处不大,我们用零填充。
  成员4,4个字节,是指向DLL名字的RVA,即指向DLL名字的指针,也是一个ASCIIZ字符串。我们将在后面编写“user32.dll”字符串,这个值不是固定的值,只要将这个字符串写入这个区段中,并计算RVA填入后,程序都能正确的运行,我们这里按照之前vc编译 的小demo的地址填写为:”46200000”。

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表

成员5,4个字节,指向一个 IMAGE_THUNK_DATA 结构数组的RVA,同成员1一样,但是此IMAGE_THUNK_DATA 数组结构保存了所有导入函数的指针。PE文件被装载到内存时,用引入函数真实地址来替代由这里的IMAGE_THUNK_DATA 数组里的元素值。那么这里填哪里的地址呢?这就要用到我们刚刚空下的空间了。我们将此值设为“00200000”。

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  最后以全零结尾这个IMAGE_IMPORT_DESCRIPTOR 结构数组,即:“00000000”,“00000000”,“00000000”,“00000000”,“00000000”。 共20个字节。

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  接下来写入导入函数名称表,这个值的位置也是可以写在这个段中的任意位置,
  但为了同vc的风格一致,我们参考下1.exe这个原程序文件。查看1.exe这个文件大家会发现这里导入的函数名并非单纯的”MessageBoxA”前面还多了两个字节,这也是我上一节课中留下的一个知识没有讲解,为了了解这两个字节的意义我们必须了解IMAGE_IMPORT_BY_NAME这个结构:

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  成员1: WORD    Hint;指示本函数在其所驻留dll的输入表中的序号。该域被PE装载器
  用来在DLL的输出表里快速查询函数。该值不是必须的,一些链接器将此值设为0.
  成员2:BYTE    Name[1];含有输入函数的函数名,函数名是一个ASCII码字符串。
  看完这个结构后我们就能理解MessageBoxA前面的两个字节数据表示什么了,这个值可以为0,这里我们参考1.exe写入他的值。

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  在文件中写入”MessageBoxA”字串。和他前面的数据。紧接着MessageBoxA后是导入的DLL名称。在文件中写入”user32.dll”。他的在导入表中的位置我们已经填写过了。

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  填写OriginalFirstThunk中的IMAGE_THUNK_DATA 数据,这个数据指向IMAGE_IMPORT_BY_NAME的RVA。
  填写FirstThunk中的IMAGE_THUNK_DATA 数据,这个数据也指向IMAGE_IMPORT_BY_NAME的RVA。

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表
  至此整个导入表的部分就填写完毕了,我们用LordPE查看一下我们的PE文件。
  用Lord也可以看到导入表的函数了

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表

手写PE第八课 写入导入表
                                                                        xuenixiang                                                                        

手写PE第八课 写入导入表

手写PE第八课 写入导入表
                                                                原创文章 127获赞 34访问量 3万+                                                                                            关注                                                                私信                                                                                                                           

温馨提示:
1.如果您喜欢这篇帖子,请给作者点赞评分,点赞会增加帖子的热度,评分会给作者加学币。(评分不会扣掉您的积分,系统每天都会重置您的评分额度)。
2.回复帖子不仅是对作者的最好奖励,还可以获得学币奖励,请尊重作者的劳动成果,拒绝做伸手党!
3.发广告、灌水回复等违规行为一经发现直接禁言,如果本帖内容涉嫌违规,请点击论坛底部的举报反馈按钮,也可以在【投诉建议】板块发帖举报。
论坛交流群:672619046
微信公众号
快速回复 返回顶部 返回列表