windows PE Image 文件分析（3）--- .idata 节与 import table

女爷i 2022-09-19 01:55 158阅读 0赞

--------------------

现在我们来探讨一下 **.idata** 节与 **import table**

下面是 **helloworld.exe** 映像中使用了 **import table** ：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start"> 
 <tbody> 
  <tr> 
   <td> 
    <div>
      域 
    </div> </td> 
   <td> 
    <div> 
     <strong>import table</strong> 
    </div> </td> 
  </tr> 
  <tr> 
   <td> 
    <div>
      VirtualAddress 
    </div> </td> 
   <td> 
    <div style="color:rgb(0,0,255); font-weight:bold">
      0x00018000 
    </div> </td> 
  </tr> 
  <tr> 
   <td> 
    <div>
      size 
    </div> </td> 
   <td> 
    <div>
      0x50 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

下面是 ***helloworld.exe*** 映像中的 **.idata** 节：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start"> 
 <tbody> 
  <tr> 
   <td> 
    <div>
      域 
    </div> </td> 
   <td> 
    <div> 
     <strong>.idata 节</strong> 
    </div> </td> 
  </tr> 
  <tr> 
   <td>VirtualSize</td> 
   <td> 
    <div>
      0x00000AAE 
    </div> </td> 
  </tr> 
  <tr> 
   <td>VirtualAddress</td> 
   <td> 
    <div style="color:rgb(0,0,255); font-weight:bold">
      0x00018000 
    </div> </td> 
  </tr> 
  <tr> 
   <td>SizeOfRawData</td> 
   <td> 
    <div>
      0x00000C00 
    </div> </td> 
  </tr> 
  <tr> 
   <td>PointerToRawData</td> 
   <td> 
    <div>
      0x00006000 
    </div> </td> 
  </tr> 
  <tr> 
   <td>PointerToRelocations</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>PointerToLinenumbers</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>NumberOfRelocations</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>NumberOfLinenumbers</td> 
   <td> 
    <div>
      0 
    </div> </td> 
  </tr> 
  <tr> 
   <td>Characteristics</td> 
   <td> 
    <div>
      0xC0000040 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

## 1. .idata 的 Raw 数据 ##

**.idata** 节的 raw 数据在 image 文件中的 **0x00006000** 处，它占用 image 文件 **0xC00** bytes 空间，从 **0x00006000 - 0x00006BFF**

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>Offset(h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F</p> <p>00006000&nbsp; AC 81 01 00 00 00 00 00 00 00 00 00 4A 85 01 00&nbsp; ?...........J…..<br> 00006010&nbsp; 8C 83 01 00 04 81 01 00 00 00 00 00 00 00 00 00&nbsp; ??..............<br> 00006020&nbsp; 4C 86 01 00 E4 82 01 00 50 80 01 00 00 00 00 00&nbsp; L?..??..P€......<br> 00006030&nbsp; 00 00 00 00 1E 89 01 00 30 82 01 00 00 00 00 00&nbsp; .....‰..0?......<br> 00006040&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006050&nbsp; 10 89 01 00 00 89 01 00 EA 88 01 00 D8 88 01 00&nbsp; .‰...‰..ê?..??..<br> 00006060&nbsp; CC 88 01 00 C0 88 01 00 A6 88 01 00 90 88 01 00&nbsp; ì?..à?..|?...?..<br> 00006070&nbsp; 7A 88 01 00 6A 88 01 00 50 88 01 00 40 88 01 00&nbsp;&nbsp;<a href="mailto:z?..j?..P?..@?" rel="nofollow">z?..j?..P?..@?</a>..<br> 00006080&nbsp; 22 88 01 00 06 88 01 00 F2 87 01 00 DE 87 01 00&nbsp; "?...?..ò?..T?..<br> 00006090&nbsp; CE 87 01 00 BC 87 01 00 B0 87 01 00 88 87 01 00&nbsp; ??..??..°?..??..<br> 000060A0&nbsp; 74 87 01 00 5E 87 01 00 4C 87 01 00 36 87 01 00&nbsp; t?..^?..L?..6?..<br> 000060B0&nbsp; 18 87 01 00 10 87 01 00 FA 86 01 00 9E 87 01 00&nbsp; .?...?..ú?..??..<br> 000060C0&nbsp; EA 86 01 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ê?..............<br> 000060D0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000060E0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000060F0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006100&nbsp; 00 00 00 00 F0 85 01 00 FA 85 01 00 02 86 01 00&nbsp; ....e…..ú…...?..<br> 00006110&nbsp; 0C 86 01 00 20 86 01 00 32 86 01 00 3E 86 01 00&nbsp; .?.. ?..2?..&gt;?..<br> 00006120&nbsp; 5A 86 01 00 70 86 01 00 84 86 01 00 94 86 01 00&nbsp; Z?..p?..??..”?..<br> 00006130&nbsp; A6 86 01 00 B0 86 01 00 BE 86 01 00 C6 86 01 00&nbsp; |?..°?..??..??..<br> 00006140&nbsp; D0 86 01 00 E2 85 01 00 C8 85 01 00 BA 85 01 00&nbsp; D?..a…..è…..o…..<br> 00006150&nbsp; A8 85 01 00 9E 85 01 00 92 85 01 00 7E 85 01 00&nbsp; ¨…..?…..’…..~…..<br> 00006160&nbsp; 68 85 01 00 56 85 01 00 DA 85 01 00 00 00 00 00&nbsp; h…..V…..ú…......<br> 00006170&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006180&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006190&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000061A0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 3E 85 01 00&nbsp; ............&gt;…..<br> 000061B0&nbsp; 2C 85 01 00 1C 85 01 00 0A 85 01 00 FC 84 01 00&nbsp; ,…...…...…..ü?..<br> 000061C0&nbsp; F0 84 01 00 DE 84 01 00 CC 84 01 00 BE 84 01 00&nbsp; e?..T?..ì?..??..<br> 000061D0&nbsp; AE 84 01 00 A2 84 01 00 94 84 01 00 80 84 01 00&nbsp; ??..￠?..”?..€?..<br> 000061E0&nbsp; 72 84 01 00 5E 84 01 00 50 84 01 00 38 84 01 00&nbsp; r?..^?..P?..8?..<br> 000061F0&nbsp; 24 84 01 00 10 84 01 00 2C 89 01 00 3C 89 01 00&nbsp; $?...?..,‰..&lt;‰..<br> 00006200&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006210&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006220&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006230&nbsp; 10 89 01 00 00 89 01 00 EA 88 01 00 D8 88 01 00&nbsp; .‰...‰..ê?..??..<br> 00006240&nbsp; CC 88 01 00 C0 88 01 00 A6 88 01 00 90 88 01 00&nbsp; ì?..à?..|?...?..<br> 00006250&nbsp; 7A 88 01 00 6A 88 01 00 50 88 01 00 40 88 01 00&nbsp;&nbsp;<a href="mailto:z?..j?..P?..@?" rel="nofollow">z?..j?..P?..@?</a>..<br> 00006260&nbsp; 22 88 01 00 06 88 01 00 F2 87 01 00 DE 87 01 00&nbsp; "?...?..ò?..T?..<br> 00006270&nbsp; CE 87 01 00 BC 87 01 00 B0 87 01 00 88 87 01 00&nbsp; ??..??..°?..??..<br> 00006280&nbsp; 74 87 01 00 5E 87 01 00 4C 87 01 00 36 87 01 00&nbsp; t?..^?..L?..6?..<br> 00006290&nbsp; 18 87 01 00 10 87 01 00 FA 86 01 00 9E 87 01 00&nbsp; .?...?..ú?..??..<br> 000062A0&nbsp; EA 86 01 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ê?..............<br> 000062B0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000062C0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000062D0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000062E0&nbsp; 00 00 00 00 F0 85 01 00 FA 85 01 00 02 86 01 00&nbsp; ....e…..ú…...?..<br> 000062F0&nbsp; 0C 86 01 00 20 86 01 00 32 86 01 00 3E 86 01 00&nbsp; .?.. ?..2?..&gt;?..<br> 00006300&nbsp; 5A 86 01 00 70 86 01 00 84 86 01 00 94 86 01 00&nbsp; Z?..p?..??..”?..<br> 00006310&nbsp; A6 86 01 00 B0 86 01 00 BE 86 01 00 C6 86 01 00&nbsp; |?..°?..??..??..<br> 00006320&nbsp; D0 86 01 00 E2 85 01 00 C8 85 01 00 BA 85 01 00&nbsp; D?..a…..è…..o…..<br> 00006330&nbsp; A8 85 01 00 9E 85 01 00 92 85 01 00 7E 85 01 00&nbsp; ¨…..?…..’…..~…..<br> 00006340&nbsp; 68 85 01 00 56 85 01 00 DA 85 01 00 00 00 00 00&nbsp; h…..V…..ú…......<br> 00006350&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006360&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006370&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006380&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 3E 85 01 00&nbsp; ............&gt;…..<br> 00006390&nbsp; 2C 85 01 00 1C 85 01 00 0A 85 01 00 FC 84 01 00&nbsp; ,…...…...…..ü?..<br> 000063A0&nbsp; F0 84 01 00 DE 84 01 00 CC 84 01 00 BE 84 01 00&nbsp; e?..T?..ì?..??..<br> 000063B0&nbsp; AE 84 01 00 A2 84 01 00 94 84 01 00 80 84 01 00&nbsp; ??..￠?..”?..€?..<br> 000063C0&nbsp; 72 84 01 00 5E 84 01 00 50 84 01 00 38 84 01 00&nbsp; r?..^?..P?..8?..<br> 000063D0&nbsp; 24 84 01 00 10 84 01 00 2C 89 01 00 3C 89 01 00&nbsp; $?...?..,‰..&lt;‰..<br> 000063E0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000063F0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006400&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006410&nbsp; AF 00 44 69 73 70 61 74 63 68 4D 65 73 73 61 67&nbsp; ˉ.DispatchMessag<br> 00006420&nbsp; 65 57 00 00 FC 02 54 72 61 6E 73 6C 61 74 65 4D&nbsp; eW..ü.TranslateM<br> 00006430&nbsp; 65 73 73 61 67 65 00 00 FA 02 54 72 61 6E 73 6C&nbsp; essage..ú.Transl<br> 00006440&nbsp; 61 74 65 41 63 63 65 6C 65 72 61 74 6F 72 57 00&nbsp; ateAcceleratorW.<br> 00006450&nbsp; 5D 01 47 65 74 4D 65 73 73 61 67 65 57 00 E5 01&nbsp; ].GetMessageW.?.<br> 00006460&nbsp; 4C 6F 61 64 41 63 63 65 6C 65 72 61 74 6F 72 73&nbsp; LoadAccelerators<br> 00006470&nbsp; 57 00 FA 01 4C 6F 61 64 53 74 72 69 6E 67 57 00&nbsp; W.ú.LoadStringW.<br> 00006480&nbsp; 4D 02 52 65 67 69 73 74 65 72 43 6C 61 73 73 45&nbsp; M.RegisterClassE<br> 00006490&nbsp; 78 57 00 00 EB 01 4C 6F 61 64 43 75 72 73 6F 72&nbsp; xW..?.LoadCursor<br> 000064A0&nbsp; 57 00 ED 01 4C 6F 61 64 49 63 6F 6E 57 00 11 03&nbsp; W.í.LoadIconW...<br> 000064B0&nbsp; 55 70 64 61 74 65 57 69 6E 64 6F 77 00 00 DF 02&nbsp; UpdateWindow..?.<br> 000064C0&nbsp; 53 68 6F 77 57 69 6E 64 6F 77 00 00 6E 00 43 72&nbsp; ShowWindow..n.Cr<br> 000064D0&nbsp; 65 61 74 65 57 69 6E 64 6F 77 45 78 57 00 37 02&nbsp; eateWindowExW.7.<br> 000064E0&nbsp; 50 6F 73 74 51 75 69 74 4D 65 73 73 61 67 65 00&nbsp; PostQuitMessage.<br> 000064F0&nbsp; DC 00 45 6E 64 50 61 69 6E 74 00 00 0E 00 42 65&nbsp; ü.EndPaint....Be<br> 00006500&nbsp; 67 69 6E 50 61 69 6E 74 00 00 9C 00 44 65 66 57&nbsp; ginPaint..?.DefW<br> 00006510&nbsp; 69 6E 64 6F 77 50 72 6F 63 57 00 00 A6 00 44 65&nbsp; indowProcW..|.De<br> 00006520&nbsp; 73 74 72 6F 79 57 69 6E 64 6F 77 00 AC 00 44 69&nbsp; stroyWindow.?.Di<br> 00006530&nbsp; 61 6C 6F 67 42 6F 78 50 61 72 61 6D 57 00 DA 00&nbsp; alogBoxParamW.ú.<br> 00006540&nbsp; 45 6E 64 44 69 61 6C 6F 67 00 55 53 45 52 33 32&nbsp; EndDialog.USER32<br> 00006550&nbsp; 2E 64 6C 6C 00 00 21 01 5F 43 52 54 5F 52 54 43&nbsp; .dll..!._CRT_RTC<br> 00006560&nbsp; 5F 49 4E 49 54 57 00 00 1B 02 5F 63 6F 6E 66 69&nbsp; _INITW...._confi<br> 00006570&nbsp; 67 74 68 72 65 61 64 6C 6F 63 61 6C 65 00 C7 01&nbsp; gthreadlocale.?.<br> 00006580&nbsp; 5F 5F 73 65 74 75 73 65 72 6D 61 74 68 65 72 72&nbsp; __setusermatherr<br> 00006590&nbsp; 00 00 1A 02 5F 63 6F 6D 6D 6F 64 65 00 00 79 02&nbsp; ...._commode..y.<br> 000065A0&nbsp; 5F 66 6D 6F 64 65 00 00 C4 01 5F 5F 73 65 74 5F&nbsp; _fmode..?.__set_<br> 000065B0&nbsp; 61 70 70 5F 74 79 70 65 00 00 F2 01 5F 61 6D 73&nbsp; app_type..ò._ams<br> 000065C0&nbsp; 67 5F 65 78 69 74 00 00 DB 01 5F 5F 77 67 65 74&nbsp; g_exit..?.__wget<br> 000065D0&nbsp; 6D 61 69 6E 61 72 67 73 00 00 5D 02 5F 65 78 69&nbsp; mainargs..]._exi<br> 000065E0&nbsp; 74 00 4F 01 5F 58 63 70 74 46 69 6C 74 65 72 00&nbsp; t.O._XcptFilter.<br> 000065F0&nbsp; 09 02 5F 63 65 78 69 74 00 00 B4 05 65 78 69 74&nbsp; .._cexit..′.exit<br> 00006600&nbsp; 00 00 0C 05 5F 77 63 6D 64 6C 6E 00 37 01 5F 43&nbsp; ...._wcmdln.7._C<br> 00006610&nbsp; 72 74 53 65 74 43 68 65 63 6B 43 6F 75 6E 74 00&nbsp; rtSetCheckCount.<br> 00006620&nbsp; 26 01 5F 43 72 74 44 62 67 52 65 70 6F 72 74 57&nbsp; &amp;._CrtDbgReportW<br> 00006630&nbsp; 00 00 E9 02 5F 69 6E 69 74 74 65 72 6D 00 EA 02&nbsp; ..é._initterm.ê.<br> 00006640&nbsp; 5F 69 6E 69 74 74 65 72 6D 5F 65 00 4D 53 56 43&nbsp; _initterm_e.MSVC<br> 00006650&nbsp; 52 31 30 30 44 2E 64 6C 6C 00 2D 02 5F 63 72 74&nbsp; R100D.dll.-._crt<br> 00006660&nbsp; 5F 64 65 62 75 67 67 65 72 5F 68 6F 6F 6B 00 00&nbsp; _debugger_hook..<br> 00006670&nbsp; 04 01 3F 74 65 72 6D 69 6E 61 74 65 40 40 59 41&nbsp;&nbsp;<a href="mailto:..?terminate@@YA" rel="nofollow">..?terminate@@YA</a><br> 00006680&nbsp; 58 58 5A 00 1E 02 5F 63 6F 6E 74 72 6F 6C 66 70&nbsp; XXZ..._controlfp<br> 00006690&nbsp; 5F 73 00 00 EF 02 5F 69 6E 76 6F 6B 65 5F 77 61&nbsp; _s..?._invoke_wa<br> 000066A0&nbsp; 74 73 6F 6E 00 00 C8 04 5F 75 6E 6C 6F 63 6B 00&nbsp; tson..è._unlock.<br> 000066B0&nbsp; 7D 01 5F 5F 64 6C 6C 6F 6E 65 78 69 74 00 5A 03&nbsp; }.__dllonexit.Z.<br> 000066C0&nbsp; 5F 6C 6F 63 6B 00 02 04 5F 6F 6E 65 78 69 74 00&nbsp; _lock..._onexit.<br> 000066D0&nbsp; 54 02 5F 65 78 63 65 70 74 5F 68 61 6E 64 6C 65&nbsp; T._except_handle<br> 000066E0&nbsp; 72 34 5F 63 6F 6D 6D 6F 6E 00 EA 00 45 6E 63 6F&nbsp; r4_common.ê.Enco<br> 000066F0&nbsp; 64 65 50 6F 69 6E 74 65 72 00 EC 02 49 6E 74 65&nbsp; dePointer.ì.Inte<br> 00006700&nbsp; 72 6C 6F 63 6B 65 64 45 78 63 68 61 6E 67 65 00&nbsp; rlockedExchange.<br> 00006710&nbsp; B2 04 53 6C 65 65 70 00 E9 02 49 6E 74 65 72 6C&nbsp; 2.Sleep.é.Interl<br> 00006720&nbsp; 6F 63 6B 65 64 43 6F 6D 70 61 72 65 45 78 63 68&nbsp; ockedCompareExch<br> 00006730&nbsp; 61 6E 67 65 00 00 D3 02 48 65 61 70 53 65 74 49&nbsp; ange..ó.HeapSetI<br> 00006740&nbsp; 6E 66 6F 72 6D 61 74 69 6F 6E 00 00 63 02 47 65&nbsp; nformation..c.Ge<br> 00006750&nbsp; 74 53 74 61 72 74 75 70 49 6E 66 6F 57 00 11 05&nbsp; tStartupInfoW...<br> 00006760&nbsp; 57 69 64 65 43 68 61 72 54 6F 4D 75 6C 74 69 42&nbsp; WideCharToMultiB<br> 00006770&nbsp; 79 74 65 00 00 03 49 73 44 65 62 75 67 67 65 72&nbsp; yte...IsDebugger<br> 00006780&nbsp; 50 72 65 73 65 6E 74 00 67 03 4D 75 6C 74 69 42&nbsp; Present.g.MultiB<br> 00006790&nbsp; 79 74 65 54 6F 57 69 64 65 43 68 61 72 00 B1 03&nbsp; yteToWideChar.±.<br> 000067A0&nbsp; 52 61 69 73 65 45 78 63 65 70 74 69 6F 6E 00 00&nbsp; RaiseException..<br> 000067B0&nbsp; 4D 05 6C 73 74 72 6C 65 6E 41 00 00 45 02 47 65&nbsp; M.lstrlenA..E.Ge<br> 000067C0&nbsp; 74 50 72 6F 63 41 64 64 72 65 73 73 00 00 3F 03&nbsp; tProcAddress..?.<br> 000067D0&nbsp; 4C 6F 61 64 4C 69 62 72 61 72 79 57 00 00 C0 04&nbsp; LoadLibraryW..à.<br> 000067E0&nbsp; 54 65 72 6D 69 6E 61 74 65 50 72 6F 63 65 73 73&nbsp; TerminateProcess<br> 000067F0&nbsp; 00 00 C0 01 47 65 74 43 75 72 72 65 6E 74 50 72&nbsp; ..à.GetCurrentPr<br> 00006800&nbsp; 6F 63 65 73 73 00 D3 04 55 6E 68 61 6E 64 6C 65&nbsp; ocess.ó.Unhandle<br> 00006810&nbsp; 64 45 78 63 65 70 74 69 6F 6E 46 69 6C 74 65 72&nbsp; dExceptionFilter<br> 00006820&nbsp; 00 00 A5 04 53 65 74 55 6E 68 61 6E 64 6C 65 64&nbsp; ..￥.SetUnhandled<br> 00006830&nbsp; 45 78 63 65 70 74 69 6F 6E 46 69 6C 74 65 72 00&nbsp; ExceptionFilter.<br> 00006840&nbsp; CA 00 44 65 63 6F 64 65 50 6F 69 6E 74 65 72 00&nbsp; ê.DecodePointer.<br> 00006850&nbsp; A7 03 51 75 65 72 79 50 65 72 66 6F 72 6D 61 6E&nbsp; §.QueryPerforman<br> 00006860&nbsp; 63 65 43 6F 75 6E 74 65 72 00 93 02 47 65 74 54&nbsp; ceCounter.“.GetT<br> 00006870&nbsp; 69 63 6B 43 6F 75 6E 74 00 00 C5 01 47 65 74 43&nbsp; ickCount..?.GetC<br> 00006880&nbsp; 75 72 72 65 6E 74 54 68 72 65 61 64 49 64 00 00&nbsp; urrentThreadId..<br> 00006890&nbsp; C1 01 47 65 74 43 75 72 72 65 6E 74 50 72 6F 63&nbsp; á.GetCurrentProc<br> 000068A0&nbsp; 65 73 73 49 64 00 79 02 47 65 74 53 79 73 74 65&nbsp; essId.y.GetSyste<br> 000068B0&nbsp; 6D 54 69 6D 65 41 73 46 69 6C 65 54 69 6D 65 00&nbsp; mTimeAsFileTime.<br> 000068C0&nbsp; CF 02 48 65 61 70 46 72 65 65 00 00 CB 02 48 65&nbsp; ?.HeapFree..?.He<br> 000068D0&nbsp; 61 70 41 6C 6C 6F 63 00 4A 02 47 65 74 50 72 6F&nbsp; apAlloc.J.GetPro<br> 000068E0&nbsp; 63 65 73 73 48 65 61 70 00 00 14 02 47 65 74 4D&nbsp; cessHeap....GetM<br> 000068F0&nbsp; 6F 64 75 6C 65 46 69 6C 65 4E 61 6D 65 57 00 00&nbsp; oduleFileNameW..<br> 00006900&nbsp; F1 04 56 69 72 74 75 61 6C 51 75 65 72 79 00 00&nbsp; ?.VirtualQuery..<br> 00006910&nbsp; 62 01 46 72 65 65 4C 69 62 72 61 72 79 00 4B 45&nbsp; b.FreeLibrary.KE<br> 00006920&nbsp; 52 4E 45 4C 33 32 2E 64 6C 6C 00 00 14 01 47 65&nbsp; RNEL32.dll....Ge<br> 00006930&nbsp; 74 43 6C 69 65 6E 74 52 65 63 74 00 D0 00 44 72&nbsp; tClientRect.D.Dr<br> 00006940&nbsp; 61 77 54 65 78 74 57 00 00 00 00 00 00 00 00 00&nbsp; awTextW.........<br> 00006950&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006960&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006970&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006980&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006990&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000069A0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000069B0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000069C0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000069D0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000069E0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 000069F0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A00&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A10&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A20&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A30&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A40&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A50&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A60&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A70&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A80&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006A90&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006AA0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006AB0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006AC0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006AD0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006AE0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006AF0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B00&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B10&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B20&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B30&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B40&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B50&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B60&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B70&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B80&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006B90&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006BA0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006BB0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006BC0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006BD0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006BE0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................<br> 00006BF0&nbsp; 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00&nbsp; ................</p> </td> 
  </tr> 
 </tbody> 
</table>

当 ***helloworld.exe*** 被加载运行时，**.idata** 被加载到 **0x00418000**

**.idata** 的属性是 **0xC0000040**，它等于 **IMAGE\_SCN\_MEM\_WRITE** | **IMAGE\_SCN\_MEM\_READ** | **IMAGE\_SCN\_CNT\_INITIALIZED\_DATA**，因此 **.idata** 节是 **writeable/readable** 的并且是已初始化的的数据

实际上 **.idata** 节就是 import table 节。

## 2. import table 的 raw 数据 ##

***helloworld.exe*** 使用的其中一个 data table 是 **import table**，由数据目录表 **DataDriectory\[1\]** 的 **VirtualAddress** 指出 import table 会被加载到 **0x00418000**（**ImageBase + VirtualAddress**)，大小为 **0x50** bytes，这个地址正好是 **.idata** 节的地址

实际上，import table 就在 .idata 节开头的 0x50 bytes，与 .idata 重叠一起。下面是 import table 的数据，从 0x6000 - 0x604F（共 0x50 bytes）：

## 3. import table 的结构 ##

在 **WinNT.h** 中定义了 **IMAGE\_IMPORT\_DESCRIPTOR** 结构来描述 **import table**：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>typedef struct _IMAGE_IMPORT_DESCRIPTOR { <br> &nbsp;&nbsp;&nbsp; union { <br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; Characteristics;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // 0 for terminating null import descriptor<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; OriginalFirstThunk;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // RVA to original unbound IAT (PIMAGE_THUNK_DATA)<br> &nbsp;&nbsp;&nbsp; } DUMMYUNIONNAME;<br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; TimeDateStamp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // 0 if not bound,<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // -1 if bound, and real date\time stamp<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //&nbsp;&nbsp;&nbsp;&nbsp; in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // O.W. date/time stamp of DLL bound to (Old BIND)</p> <p>&nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; ForwarderChain;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // -1 if no forwarders<br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; Name;<br> &nbsp;&nbsp;&nbsp; DWORD&nbsp;&nbsp; FirstThunk;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // RVA to IAT (if bound this IAT has actual addresses)<br> } IMAGE_IMPORT_DESCRIPTOR;</p> </td> 
  </tr> 
 </tbody> 
</table>

**IMAGE\_IMPORT\_DESCRIPTOR** 结构 5 个域，共 **20** bytes，其中：

*  **OriginalFirstThunk** ：这是一个间接层，指向一个 **IMAGE\_THUNK\_DATA** 结构
 *  **FirstThunk** ： 指向 **IAT**（Import Address Table）

**Name** 字段是一个指令 import 字符串的 **RVA** 值，下面是一张图表，给出 import table 与 **hint/name table** 的关系：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; import table</p> <p>&nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; import lookup table<br> &nbsp;(0) | OriginalFirstThunk&nbsp;&nbsp; | ----------------&gt; +--------------------+<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp; hint/name RVA&nbsp;&nbsp;&nbsp; | ------\&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp; | TimeDataStamp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +--------------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +----&gt; |&nbsp;&nbsp; hint/name RVA&nbsp;&nbsp;&nbsp; | ---+&nbsp; |&nbsp;&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp; | ForwarderChain&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +--------------------+&nbsp;&nbsp;&nbsp; |&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp; | Name&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; | -----------+---+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp; | FirstThunk&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; | ----\&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DLL name&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp; +--&gt; +---------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |&nbsp;<br> &nbsp;(1) | OriginalFirstThunk&nbsp;&nbsp; | ----+------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;<span style="color:#FF0000">"User32.dll"</span>&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; hint/name table&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +---------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp; | TimeDataStramp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; +---&gt;&nbsp; +-------+-----------------+<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +-|------&gt;&nbsp; | Hint&nbsp; | function name&nbsp;&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp; | ForwarderChain&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; | +------&gt;&nbsp; +-------+-----------------+<br> &nbsp;&nbsp;&nbsp;&nbsp; +--------------------- +&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; +-----&gt;&nbsp; | Hint&nbsp; | function name&nbsp;&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp; | Name&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Import Address Table&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +-------+-----------------+<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp; +----------------------------+&nbsp;&nbsp; |&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; | Hint&nbsp; | function name&nbsp;&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp; | FirstThunk&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |--+&nbsp; +--&gt; |&nbsp;&nbsp;&nbsp;&nbsp; hint/name RVA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; | --+&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +-------+-----------------+<br> &nbsp;&nbsp;&nbsp;&nbsp; +----------------------+&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +----------------------------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; | Hint&nbsp; | function name&nbsp;&nbsp; |<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +-----&gt; |&nbsp;&nbsp;&nbsp;&nbsp; hint/name RVA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; | -----+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +-------+-----------------+<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; +----------------------------+</p> </td> 
  </tr> 
 </tbody> 
</table>

***helloworld.exe*** 映像的 import table 如下：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>00418000&nbsp; AC 81 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OriginalFirstThunk<br> 00418004&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // TimeDataStamp<br> 00418008&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ForwarderChain<br> 0041800C&nbsp; 4A 85 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Name<br> 00418010&nbsp; 8C 83 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // FirstThunk</p> <p>00418014&nbsp; 04 81 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OriginalFirstThunk<br> 00418018&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // TimeDataStamp&nbsp;<br> 0041801C&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ForwarderChain<br> 00418020&nbsp; 4C 86 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Name&nbsp;<br> 00418024&nbsp; E4 82 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // FirstThunk</p> <p>00418028&nbsp; 50 80 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OriginalFirstThunk&nbsp;<br> 0041802C&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // TimeDataStamp<br> 00418030&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ForwarderChain&nbsp;<br> 00418034&nbsp; 1E 89 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Name&nbsp;<br> 00418038&nbsp; 30 82 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // FirstThunk</p> <p>0041803C&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OriginalFirstThunk&nbsp;<br> 00418040&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // TimeDataStamp&nbsp;<br> 00418044&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ForwarderChain&nbsp;<br> 00418048&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Name&nbsp;<br> 0041804C&nbsp; 00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // FirstThunk</p> </td> 
  </tr> 
 </tbody> 
</table>

实际使用了 3 个 import table 表项，注意上面的地址值我已经使用了 **VA**（Vritual Address）值，这是为了分析方便。

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start"> 
 <tbody> 
  <tr> 
   <td> 
    <div></div> </td> 
   <td> 
    <div> 
     <strong>OriginalFirstThunk</strong> 
    </div> </td> 
   <td> 
    <div> 
     <strong>Name</strong> 
    </div> </td> 
   <td> 
    <div> 
     <strong>FirstThunk</strong> 
    </div> </td> 
  </tr> 
  <tr> 
   <td> 
    <div>
      0 
    </div> </td> 
   <td> 
    <div>
      0x000181AC 
    </div> </td> 
   <td> 
    <div>
      0x0001854A 
    </div> </td> 
   <td> 
    <div>
      0x0001838C 
    </div> </td> 
  </tr> 
  <tr> 
   <td> 
    <div>
      1 
    </div> </td> 
   <td> 
    <div>
      0x00018104 
    </div> </td> 
   <td> 
    <div>
      0x0001864C 
    </div> </td> 
   <td> 
    <div>
      0x000182E4 
    </div> </td> 
  </tr> 
  <tr> 
   <td> 
    <div>
      3 
    </div> </td> 
   <td> 
    <div>
      0x00018050 
    </div> </td> 
   <td> 
    <div>
      0x0001891E 
    </div> </td> 
   <td> 
    <div>
      0x00018230 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

这些字段使用的都是 RVA 值，是基于 **ImageBase** 值

## 4. import lookup table ##

这个 import lookup table 实际上是一个 **IMAGE\_THUNK\_DATA** 结构数组，这个结构在 **WinNT.h** 定义为：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>typedef struct _IMAGE_THUNK_DATA64 { <br> &nbsp;&nbsp;&nbsp; union { <br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ULONGLONG ForwarderString;&nbsp; // PBYTE&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ULONGLONG Function;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // PDWORD<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ULONGLONG Ordinal;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ULONGLONG AddressOfData;&nbsp;&nbsp;&nbsp; // PIMAGE_IMPORT_BY_NAME<br> &nbsp;&nbsp;&nbsp; } u1;<br> } IMAGE_THUNK_DATA64;<br> typedef IMAGE_THUNK_DATA64 * PIMAGE_THUNK_DATA64;</p> <p>#include "poppack.h"&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Back to 4 byte packing</p> <p>typedef struct _IMAGE_THUNK_DATA32 { <br> &nbsp;&nbsp;&nbsp; union { <br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD ForwarderString;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // PBYTE&nbsp;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD Function;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // PDWORD<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD Ordinal;<br> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD AddressOfData;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // PIMAGE_IMPORT_BY_NAME<br> &nbsp;&nbsp;&nbsp; } u1;<br> } IMAGE_THUNK_DATA32;<br> typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;</p> </td> 
  </tr> 
 </tbody> 
</table>

这个结构分为 **32/64** 位版本。在 64 位版本里它的域是 **64** 位的。

**IMAGE\_THUNK\_DATA** 结构里是一个 **union** 变量，**AddressOfData** 是一个指向 **hint/name table** 的 RVA 值，这个值必定是 32 位的，在 **64** 位版本的 **IMAGE\_THUNK\_DATA64** 结构里，AddressOfData 的高 32 位被清 0

**Ordinal** 用于提供一个 **hint/name table** 的序号，在 32 位结构中，当 **bit31**（最高位）是 1 的话，在 64 位版 本结构中是 **bit63**（最高位）那么就需要提供 **Ordinal** 值，可是 **Ordinal** 不可能高最位是 1，也就是说 **IMAGE\_THUNK\_DATA** 不可能提供一个**Ordinal** 值，windows 根本没实现这样一种结构。

**Ordinal** 最高位为 0 时，它提供根据 Name 实现导入，这时，**AddressOfData** 提供 **32** 位的 **RVA** 值来指向 **IMAGE\_IMPORT\_BY\_NANE** 结构。

**PE** 格式实现始终是以 **NAME** 来导入，所以 **IMAGE\_THUNK\_DATA** 结构必定是提供一个 32 位的 **RVA** 值。

下面是 ***helloworld.exe*** 的其中一组 import lookup table：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>OriginalFirstThunk&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; hint/name RVA<br> ----------------------------------<br> <span style="color:#FF0000">004181AC</span>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3E 85 01 00<br> 004181B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 85 01 00&nbsp;<br> 004181B4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1C 85 01 00&nbsp;<br> 004181B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0A 85 01 00&nbsp;<br> 004181BC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; FC 84 01 00&nbsp;<br> 004181C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; F0 84 01 00&nbsp;<br> 004181C4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DE 84 01 00&nbsp;<br> 004181C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CC 84 01 00&nbsp;<br> 004181CC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; BE 84 01 00&nbsp;<br> 004181D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; AE 84 01 00&nbsp;<br> 004181D4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; A2 84 01 00&nbsp;<br> 004181D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 94 84 01 00&nbsp;<br> 004181DC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 80 84 01 00<br> 004181E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 72 84 01 00&nbsp;<br> 004181E4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 5E 84 01 00&nbsp;<br> 004181E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 50 84 01 00&nbsp;<br> 004181EC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 38 84 01 00<br> 004181F0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 24 84 01 00&nbsp;<br> 004181F4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 10 84 01 00&nbsp;<br> 004181F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 89 01 00&nbsp;<br> 004181FC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3C 89 01 00</p> </td> 
  </tr> 
 </tbody> 
</table>

该数组的第 1 项值 **0x004181AC** 就是由 import table 中的 **OriginalFirstThunk** 值给出，见于上节中的表格。如前面所示，这样的数据应该共有 **3** 组（3 个 **OriginalFirstThunk** 值）。

第 1 项中的 hint/name table RVA 值为 **0x0001853E**，那么它指向的 hint/name table 在 **0x0041853E**

## 5. hint/name table ##

前面所说，hint/name table 由 **IMAGE\_THUNK\_DATA** 的 **AddressOfData** 所得，它是 ***import by NAME***

在 **WinNT.h** 中定义的 **IMAGE\_IMPORT\_BY\_NAME** 结构来描述 hint/name table：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>typedef struct _IMAGE_IMPORT_BY_NAME { <br> &nbsp;&nbsp;&nbsp; WORD&nbsp;&nbsp;&nbsp; Hint;<br> &nbsp;&nbsp;&nbsp; BYTE&nbsp;&nbsp;&nbsp; Name[1];<br> } IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;</p> </td> 
  </tr> 
 </tbody> 
</table>

Hint 是一个 16 位的值，它是一个 export 名字索引值。Name 虽然定义为 1 byte 数组，它是一个长度可变 ASCII 字符数组，以 **'\\0'** 结尾的字符数组，它是 import 函数名。

以上面的 **0x0041853E** 所指的 Hint/Name table 为例：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>0041853E&nbsp; DA 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Hint = 0x00DA<br> 00418540&nbsp; 45 6E 64 44 69 61 6C 6F 67 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Name = EndDialog</p> </td> 
  </tr> 
 </tbody> 
</table>

它们的关系如上面的关系图表一样。

**\[import table\]**.OriginalFirstThunk ---> **\[import lookup table\]**.AddressOfData ---> **\[Hint/Name table\]**.Hint

## 6. Import Address Table ##

在导入函数进行**真实地址绑定之前**，Import Address Table 的组织和内容与 **IMPORT\_THUNK\_DATA** 结构是一样的，Import Address Table 的值就是 **AddressOfData**

因此，在**函数绑定之前**，Import Address Table 的值就是 Hint/Name Table 的 RVA 值。

import table 第 1 项的 **FirstThunk** 值为：**0x0001838C**，看看它的 Import Address Table：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>FirstThunk&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Hint/Name table RVA<br> ----------------------------------------<br> <span style="color:#FF0000">0041838C</span>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3E 85 01 00<br> 00418390&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 85 01 00&nbsp;<br> 00418394&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1C 85 01 00&nbsp;<br> 00418398&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0A 85 01 00&nbsp;<br> 0041839C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; FC 84 01 00<br> 004183A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; F0 84 01 00&nbsp;<br> 004183A4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DE 84 01 00&nbsp;<br> 004183A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CC 84 01 00&nbsp;<br> 004183AC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; BE 84 01 00<br> 004183B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; AE 84 01 00&nbsp;<br> 004183B4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; A2 84 01 00&nbsp;<br> 004183B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 94 84 01 00&nbsp;<br> 004183BC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 80 84 01 00<br> 004183C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 72 84 01 00&nbsp;<br> 004183C4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 5E 84 01 00&nbsp;<br> 004183C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 50 84 01 00&nbsp;<br> 004183CC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 38 84 01 00<br> 004183D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 24 84 01 00&nbsp;<br> 004183D4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 10 84 01 00&nbsp;<br> 004183D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 89 01 00&nbsp;<br> 004183DC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3C 89 01 00</p> </td> 
  </tr> 
 </tbody> 
</table>

可以看出通过 **OriginalFirstThunk** 与 **FirstThunk** 指向的 **Hint/Name table RVA** 都是一样的。

但是：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>在进行<span style="color:rgb(255,0,0); font-weight:bold">函数地址绑定</span>之后，Import Address Table 就是被导入函数的真实地址</p> </td> 
  </tr> 
 </tbody> 
</table>

## 7. 获取 import DLL name ##

**IMAGE\_IMPORT\_DESCRIPTOR** 结构里的 **Name** 域指出所 Import 的 **DLL** 的名字，在 ***helloworld.exe*** 其中的一个 import table 中的 Name

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>00418000&nbsp;AC 81 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // OriginalFirstThunk<br> 00418004&nbsp;00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // TimeDataStamp<br> 00418008&nbsp;00 00 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // ForwarderChain<br> <strong><span style="color:#FF0000">0041800C&nbsp;4A 85 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // Name</span></strong><br> 00418010&nbsp;8C 83 01 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // FirstThunk</p> </td> 
  </tr> 
 </tbody> 
</table>

这个 **Name** 值是 **0x0001854A** 那么，它的值是：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>Offset(h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F</p> <p><strong>0041854A</strong>&nbsp; 55 53 45 52 33 32 2E 64 6C 6C 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // "USER32.dll"</p> </td> 
  </tr> 
 </tbody> 
</table>

在 **0x0041854A** 处放着 ***"USER32.dll"*** 的字符串，它以 **ASCII** 串形式表示导入的 DLL 名字

下一篇文章，我们来探讨一下函数的绑定。

--------------------

### 版权 mik 所有，转载请注明出处 ###