data directory（数据目录）之引入表

àì夳堔傛蜴生んèń 2021-12-20 08:31 208阅读 0赞

（一）IMAGE\_DATA\_DIRECTORY STRUCT  
VirtualAddress dd ?  
isize dd ?  
IMAGE\_DATA\_DIRECTORY ENDS

（二）data directory数组第二项（Import symbols）的IMAGE\_DATA\_DIRECTORY中的**VirtualAddress**包含引入表地址，这块地址是一个 **IMAGE\_IMPORT\_DESCRIPTOR**结构数组。每个结构包含PE文件引入函数的一个相关DLL的信息。比如，如果该PE文件从10个不同的DLL中引入函数，那么这个数组就有10个成员。该数组以一个全0的成员结尾。

IMAGE\_IMPORT\_DESCRIPTOR STRUCT  
union  
Characteristics dd ?  
OriginalFirstThunk dd ?  
ends  
TimeDateStamp dd ?  
ForwarderChain dd ?  
Name1 dd ?  
FirstThunk dd ?  
IMAGE\_IMPORT\_DESCRIPTOR ENDS

1、 结构第一项是一个union子结构。事实上，这个union子结构只是给 **OriginalFirstThunk**增添了个别名，您也可以称其为"Characteristics"。OriginalFirstThunk是一个指向一个**IMAGE\_THUNK\_DATA**结构数组的RVA（指针）。而**IMAGE\_THUNK\_DATA是一个dword集合，通常我们将其解释为指向一个IMAGE\_IMPORT\_BY\_NAME结构的指针。**

IMAGE\_IMPORT\_BY\_NAME STRUCT  
Hint dw ?  
Name1 db ?  
IMAGE\_IMPORT\_BY\_NAME ENDS

**Hint** 指示本函数在其所驻留DLL的引出表中的索引号。该域被PE装载器用来在DLL的引出表里快速查询函数。该值不是必须的，一些连接器将此值设为0。  
**　　Name1**含有引入函数的函数名。函数名是一个ASCIIZ字符串。注意这里虽然将Name1的大小定义成字节，其实它是可变尺寸域，只不过我们没有更好方法来表示结构中的可变尺寸域。

**2、****TimeDateStamp**和 **ForwarderChain**可是高级东东: 让我们精通其他成员后再来讨论它们吧。

**3、FirstThunk与 OriginalFirstThunk非常相似，它也包含指向一个 IMAGE\_THUNK\_DATA结构数组的RVA(当然这是另外一个IMAGE\_THUNK\_DATA结构数组)。**

<table> 
 <tbody> 
  <tr> 
   <th><span style="font-family:'MS Sans Serif';font-size:small;">OriginalFirstThunk</span></th> 
   <th>　</th> 
   <th><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_IMPORT_BY_NAME</span></th> 
   <th>　</th> 
   <th><span style="font-family:'MS Sans Serif';font-size:small;">FirstThunk</span></th> 
  </tr> 
  <tr> 
   <td> <p>|</p> </td> 
   <td>　</td> 
   <td>　</td> 
   <td>　</td> 
   <td><span style="font-family:'MS Sans Serif';font-size:small;">|</span></td> 
  </tr> 
  <tr> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">...</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 1</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 2</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 3</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 4 </span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">...</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function n</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">&lt;---</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">&lt;---</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">&lt;---</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">&lt;---</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">&lt;---</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">&lt;---</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">...</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
  </tr> 
 </tbody> 
</table>

问题： 为什么我们需要两个完全相同的数组? 为了回答该问题，我们需要了解当PE文件被装载到内存时，PE装载器将查找**IMAGE\_THUNK\_DATA**和 **IMAGE\_IMPORT\_BY\_NAME**这些结构数组，以此决定引入函数的地址。然后用引入函数真实地址来替代由**FirstThunk**指向的**IMAGE\_THUNK\_DATA**数组里的元素值。因此当PE文件准备执行时，上图已转换成:

<table> 
 <tbody> 
  <tr> 
   <th><span style="font-family:'MS Sans Serif';font-size:small;">OriginalFirstThunk</span></th> 
   <th>　</th> 
   <th><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_IMPORT_BY_NAME</span></th> 
   <th>　</th> 
   <th><span style="font-family:'MS Sans Serif';font-size:small;">FirstThunk</span></th> 
  </tr> 
  <tr> 
   <td> <p>|</p> </td> 
   <td>　</td> 
   <td>　</td> 
   <td>　</td> 
   <td><span style="font-family:'MS Sans Serif';font-size:small;">|</span></td> 
  </tr> 
  <tr> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">...</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">IMAGE_THUNK_DATA</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">---&gt;</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 1</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 2</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 3</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function 4 </span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">...</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Function n</span></td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td>&nbsp;&nbsp;&nbsp;</td> 
      </tr> 
      <tr> 
       <td>　</td> 
      </tr> 
      <tr> 
       <td>　</td> 
      </tr> 
      <tr> 
       <td>　</td> 
      </tr> 
      <tr> 
       <td>　</td> 
      </tr> 
      <tr> 
       <td>　</td> 
      </tr> 
     </tbody> 
    </table></td> 
   <td> 
    <table> 
     <tbody> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Address of Function 1</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Address of Function 2</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Address of Function 3</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Address of Function 4</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">...</span></td> 
      </tr> 
      <tr> 
       <td><span style="font-family:'MS Sans Serif';font-size:small;">Address of Function n </span></td> 
      </tr> 
     </tbody> 
    </table></td> 
  </tr> 
 </tbody> 
</table>

（三）些情况下一些函数仅由序数引出，也就是说您不能用函数名来调用它们: 您只能用它们的位置来调用。此时，调用者模块中就不存在该函数的**IMAGE\_IMPORT\_BY\_NAME**结构。不同的，对应该函数的 **IMAGE\_THUNK\_DATA**值的低位字指示函数序数，而最高二进位 (MSB)设为1。例如，如果一个函数只由序数引出且其序数是1234h，那么对应该函数的 **IMAGE\_THUNK\_DATA**值是80001234h。Microsoft提供了一个方便的常量来测试dword值的MSB位，就是 **IMAGE\_ORDINAL\_FLAG32**，其值为80000000h。

（四）如果要列出某个PE文件的所有引入函数，可以照着下面步骤走:

1.  校验文件是否是有效的PE。
2.  从 DOS header 定位到 PE header。
3.  获取位于 **OptionalHeader** 数据目录地址。
4.  转至数据目录的第二个成员提取其**VirtualAddress**值。
5.  利用上值定位第一个 **IMAGE\_IMPORT\_DESCRIPTOR**结构。
6.  检查 **OriginalFirstThunk**值。若不为0，顺着 **OriginalFirstThunk**里的RVA值转入那个RVA数组。若 **OriginalFirstThunk**为0，就改用**FirstThunk**值。有些连接器生成PE文件时会置**OriginalFirstThunk**值为0，这应该算是个bug。不过为了安全起见，我们还是检查 **OriginalFirstThunk**值先。
7.  对于每个数组元素，我们比对元素值是否等于**IMAGE\_ORDINAL\_FLAG32****。**如果该元素值的最高二进位为1， 那么函数是由序数引入的，可以从该值的低字节提取序数。
8.  如果元素值的最高二进位为0，就可将该值作为RVA转入 **IMAGE\_IMPORT\_BY\_NAME** 数组，跳过 **Hint**就是函数名字了。
9.  再跳至下一个数组元素提取函数名一直到数组底部(它以null结尾)。现在我们已遍历完一个DLL的引入函数，接下去处理下一个DLL。
10. 即跳转到下一个 **IMAGE\_IMPORT\_DESCRIPTOR**并处理之，如此这般循环直到数组见底。(**IMAGE\_IMPORT\_DESCRIPTOR**数组以一个全0域元素结尾)。

转载于:https://www.cnblogs.com/wang-can/p/3280515.html