windows PE Image 文件分析（4）--- 导入函数的绑定

我会带着你远行 2022-09-19 01:55 192阅读 0赞

--------------------

上一篇文章探讨了 ***helloworld.exe*** 映像的 **import table** 和 **.idata** 节的情况，现在接着看一看 windows 是如何使用导入的函数。

我重申一下我的环境：**helloworld.exe** 是以 **Win32** debug 选项编译的，但是我的电脑是 **64** 位的 Win7 系统，所以 **32** 位的 ***helloworld.exe*** 运行在 **64** 位的 windows 下。

前面的文章已经提过：helloworld.exe 的 **ImageBase** 已经不是 0x00400000 ，在我的实验上是 **0x011b0000**，这个 ImageBase 可能每次都不一样的。

我不想再回头弄个 64 位的 helloworld.exe 再重新探索。:)

## 1. 在程序中调用 API ##

从我的 helloworld.cpp 示例程序中提取几条调用 API 语句：

### 1.1 语句 1 ###

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p><strong>LoadString</strong>(hInstance, IDS_APP_TITLE, szTitle, MAX_LOADSTRING);</p> </td> 
  </tr> 
 </tbody> 
</table>

代码调用了 **User32.dll** 的 API 函数，那么 LoadString() 将作为 import 函数存在于 helloworld.exe 的 import table

这条语句，被编译为：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>011C1490 6A 64&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 64h&nbsp;&nbsp;<br> 011C1492 68 00 72 1C 01&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; offset szTitle (11C7200h)&nbsp;&nbsp;<br> 011C1497 6A 67&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 67h&nbsp;&nbsp;<br> 011C1499 8B 45 08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; eax,dword ptr [hInstance]&nbsp;&nbsp;<br> 011C149C 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; eax&nbsp;&nbsp;<br> <span style="color:#0000FF"><strong>011C149D FF 15 C0 83 1C 01&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [__imp__LoadStringW@16 (11C83C0h)]</strong></span>&nbsp;&nbsp;<br> 011C14A3 3B F4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; esi,esp&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

这条 **call** 指令里从地址 **\[0x011c83c0\]** 取出 IP 来执行， 这个地址里面装的就是 **LoadStringW()** 的真实地址。

### 1.2 语句 2 ###

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>wcex.hIcon =&nbsp;<strong>LoadIcon</strong>(hInstance, MAKEINTRESOURCE(IDI_HELLOWORLD));</p> </td> 
  </tr> 
 </tbody> 
</table>

代码调用了 User32.dll 的 API 函数：LoadIcon()，这条语句被编译为：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>011C1647 8B F4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; esi,esp&nbsp;&nbsp;<br> 011C1649 6A 6B&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 6Bh&nbsp;&nbsp;<br> 011C164B 8B 45 08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; eax,dword ptr [hInstance]&nbsp;&nbsp;<br> 011C164E 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; eax&nbsp;&nbsp;<br> <strong><span style="color:#0000FF">011C164F FF 15 B4 83 1C 01&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [__imp__LoadIconW@8 (11C83B4h)]</span></strong>&nbsp;&nbsp;<br> 011C1655 3B F4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; esi,esp&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

地址 **\[0x011C83B4\]** 放在 LoadIcon() 函数的真实地址。

### 1.3 语句 3 ###

代码调用了 User32.dll 的 API 函数：LoadCursor()，这条语句被编译为：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>011C1661 68 00 7F 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 7F00h&nbsp;&nbsp;<br> 011C1666 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;<br> <strong><span style="color:#0000FF">011C1668 FF 15 B8 83 1C 01&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [__imp__LoadCursorW@8 (11C83B8h)]</span></strong>&nbsp;&nbsp;<br> 011C166E 3B F4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; esi,esp&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

地址 **\[0x011C83B8\]** 放在 LoadCursor() 函数的真实地址。

## 2. helloworld.exe 的 import table ##

现在来看一看 helloworld.exe 的 import table

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p><strong>OriginalFirstThunk</strong>&nbsp;&nbsp;&nbsp; hint/name RVA<br> ----------------------------------<br> 011C81AC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3E 85 01 00<br> 011C81B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 85 01 00&nbsp;<br> 011C81B4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1C 85 01 00&nbsp;<br> 011C81B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0A 85 01 00&nbsp;<br> 011C81BC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; FC 84 01 00&nbsp;<br> 011C81C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; F0 84 01 00&nbsp;<br> 011C81C4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DE 84 01 00&nbsp;<br> 011C81C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CC 84 01 00&nbsp;<br> 011C81CC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; BE 84 01 00&nbsp;<br> 011C81D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; AE 84 01 00&nbsp;<br> <strong><span style="color:#FF0000">011C81D4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; A2 84 01 00</span></strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;// LoadIcon() 的 Hint/Name 的 RVA<br> <strong><span style="color:#FF0000">011C81D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 94 84 01 00</span></strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;// LoadCursor() 的 Hint/Name 的 RVA<br> 011C81DC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 80 84 01 00<br> <strong><span style="color:#FF0000">011C81E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 72 84 01 00</span></strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;// LoadString() 的 Hint/Name 的 RVA<br> 011C81E4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 5E 84 01 00&nbsp;<br> 011C81E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 50 84 01 00&nbsp;<br> 011C81EC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 38 84 01 00<br> 011C81F0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 24 84 01 00&nbsp;<br> 011C81F4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 10 84 01 00&nbsp;<br> 011C81F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 89 01 00&nbsp;<br> 011C81FC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3C 89 01 00</p> </td> 
  </tr> 
 </tbody> 
</table>

上面是前面提到过的一组由 **OriginalFirstThunk** 指向的 import lookup table，所不同的是：我已经将基于 **0x00400000** 的地址值转化为基于 **0x011b0000** 的地址值。

注意上面红色粗体标注的是 **LoadString()** 函数的 Hint/Name table 的 RVA 值。

下面再来看一看一组由 **FirstThunk** 引出的 Import Address Table：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p><strong>FirstThunk</strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Hint/Name table RVA<br> ----------------------------------------<br> 011C838C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3E 85 01 00<br> 011C8390&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 85 01 00&nbsp;<br> 011C8394&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1C 85 01 00&nbsp;<br> 011C8398&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0A 85 01 00&nbsp;<br> 011C839C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; FC 84 01 00<br> 011C83A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; F0 84 01 00&nbsp;<br> 011C83A4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DE 84 01 00&nbsp;<br> 011C83A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CC 84 01 00&nbsp;<br> 011C83AC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; BE 84 01 00<br> 011C83B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; AE 84 01 00&nbsp;<br> <strong><span style="color:#FF0000">011C83B4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; A2 84 01 00</span></strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;// LoadIcon() 的 Hint/Name 的 RVA<br> <strong><span style="color:#FF0000">011C83B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 94 84 01 00</span></strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;// LoadCursor() 的 Hint/Name 的 RVA&nbsp;<br> 011C83BC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 80 84 01 00<br> <strong><span style="color:#FF0000">011C83C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 72 84 01 00</span></strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;// LoadString() 的 Hint/Name 的 RVA<br> 011C83C4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 5E 84 01 00&nbsp;<br> 011C83C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 50 84 01 00&nbsp;<br> 011C83CC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 38 84 01 00<br> 011C83D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 24 84 01 00&nbsp;<br> 011C83D4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 10 84 01 00&nbsp;<br> 011C83D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2C 89 01 00&nbsp;<br> 011C83DC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3C 89 01 00</p> </td> 
  </tr> 
 </tbody> 
</table>

这也是前面提到过的由 **FirstThunk** 得出的 **Import Address Table**，同样地址值已经转化为基于 **0x011b0000** 的地址值

上面的 **Import Lookup Table** 和 **Import Address Table** 红色标注的是一一对应的，下面是其一个函数的情况：

*  由 OriginalFirstThunk 值 **0x011C81E0** 指向的 Hint/Name Table 的 RVA：**0x00018472**
 *  由 FirstThunk 值 **0x011C83C0** 指向的 Hint/Name Table 的 RVA：**0x00018472**

由 **OriginalFirstThunk** 得到 Hint/Name table 和 **FirstThunk** 得到 Hint/Name table 存在着差异，虽然在函数绑定之前是相同的。 由 OriginalFirstThunk 得到 Hint/Name 这个途径是不变的。

但是由 **FirstThunk** 得到 Hint/Name table 这个途径在函数绑定之后，发生了改变。**FirstThunk** 得到的是**函数的真实地址**，而不是 Hint/Name table

## 3. 函数的绑定 ##

回到**指令1**来：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p style="color:rgb(0,0,255); font-weight:bold">011C149D FF 15 C0 83 1C 01&nbsp;call&nbsp;dword ptr [__imp__LoadStringW@16 (<span style="color:#FF0000">11C83C0h</span>)]</p> </td> 
  </tr> 
 </tbody> 
</table>

这个地址 **0x011C83C0** 就是上面所例了 **FirstThunk** 值，此时它被绑定为 LoadStringW() 函数的真实地址：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p><strong>76E67C12</strong>&nbsp;8B FF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; edi,edi&nbsp;&nbsp;<br> 76E67C14 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp&nbsp;&nbsp;<br> 76E67C15 8B EC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp,esp&nbsp;&nbsp;<br> 76E67C17 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;<br> 76E67C19 FF 75 14&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+14h]&nbsp;&nbsp;<br> 76E67C1C FF 75 10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+10h]&nbsp;&nbsp;<br> 76E67C1F FF 75 0C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+0Ch]&nbsp;&nbsp;<br> 76E67C22 FF 75 08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+8]&nbsp;&nbsp;<br> 76E67C25 FF 15 E0 00 ED 76&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr ds:[76ED00E0h]&nbsp;&nbsp;<br> 76E67C2B 5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp&nbsp;&nbsp;<br> 76E67C2C C2 10 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ret&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 10h&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

上面这段是 LoadString() 函数的代码，入口地址是：**0x76E67C12**

**指令2：**

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p style="color:rgb(0,0,255); font-weight:bold"><strong><span style="color:#0000FF">011C164F FF 15 B4 83 1C 01&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [__imp__LoadIconW@8 (</span><span style="color:#FF0000">11C83B4h</span><span style="color:#0000FF">)]</span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

函数 LoadIconW() 的真实地址是：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p><strong>76E69EAF</strong>&nbsp;8B FF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; edi,edi&nbsp;&nbsp;<br> 76E69EB1 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp&nbsp;&nbsp;<br> 76E69EB2 8B EC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp,esp&nbsp;&nbsp;<br> 76E69EB4 68 40 80 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 8040h&nbsp;&nbsp;<br> 76E69EB9 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;<br> 76E69EBB 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;<br> 76E69EBD 6A 03&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3&nbsp;&nbsp;<br> 76E69EBF FF 75 0C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+0Ch]&nbsp;&nbsp;<br> 76E69EC2 FF 75 08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+8]&nbsp;&nbsp;<br> 76E69EC5 E8 35 E9 FF FF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 76E687FF&nbsp;&nbsp;<br> 76E69ECA 5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp&nbsp;&nbsp;<br> 76E69ECB C2 08 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ret&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 8&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

**指令3：**

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p style="color:rgb(0,0,255); font-weight:bold"><strong><span style="color:#0000FF">011C1668 FF 15 B8 83 1C 01&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [__imp__LoadCursorW@8 (</span><span style="color:#FF0000">11C83B8h</span><span style="color:#0000FF">)]</span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

函数 LoadCursor() 的真实地址是：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p><strong>76E689EE</strong>&nbsp;8B FF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; edi,edi&nbsp;&nbsp;<br> 76E689F0 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp&nbsp;&nbsp;<br> 76E689F1 8B EC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp,esp&nbsp;&nbsp;<br> 76E689F3 68 40 80 00 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 8040h&nbsp;&nbsp;<br> 76E689F8 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;<br> 76E689FA 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;<br> 76E689FC 6A 01&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1&nbsp;&nbsp;<br> 76E689FE FF 75 0C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+0Ch]&nbsp;&nbsp;<br> 76E68A01 FF 75 08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dword ptr [ebp+8]&nbsp;&nbsp;<br> 76E68A04 E8 F6 FD FF FF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 76E687FF&nbsp;&nbsp;<br> 76E68A09 5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ebp&nbsp;&nbsp;<br> 76E68A0A C2 08 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ret&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 8&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

下面看看 **FirstThunk** 经过绑定后：

上面所示，由 **FirstThunk** 指向的 **Import Address Table** 已经是导入函数的真实地址。

## 4. 绑定过程 ##

经过绑定后的 **Import Address Table** 已经是被改变， 但是 **OriginalFirstThunk** 指向的 Import Lookup Table 是保持不变的。

函数的绑定过程很容易推出：先以 Hint/Name table 中的 **Hint** 在 DLL export table 进行索引，找到匹配的函数后，然后从 **FirstThunk** 找到 **Import Address Table**，用找到的匹配函数入口地址来改写 **Import Address table** 相应的表项。

这个绑定过程只是我简单的推论，未经过深入探索，并不能作准。:)

--------------------

### 版权 mik 所有，转载请注明出处 ###